shiro学习（二）身份验证

身份验证，即在应用中谁能证明他就是他本人。一般提供如他们的身份ID一些标识信息来表明他就是他本人，如提供身份证，用户名/密码来证明。

在shiro中，用户需要提供principals （身份）和credentials（证明）给shiro，从而应用能验证用户身份：

principals：身份，即主体的标识属性，可以是任何东西，如用户名、邮箱等，唯一即可。一个主体可以有多个principals，但只有一个Primary principals，一般是用户名/密码/手机号。

credentials：证明/凭证，即只有主体知道的安全值，如密码/数字证书等。

最常见的principals和credentials组合就是用户名/密码了。接下来先进行一个基本的身份认证。

先导入maven

配置realm的方法

public class MyRealm1 implements Realm{

    public String getName() {
        // TODO Auto-generated method stub
        return "myrealm1";
    }

    public boolean supports(AuthenticationToken token) {
        // TODO Auto-generated method stub
        return token instanceof UsernamePasswordToken;//判断token是否是UserPasswordToken类型，是的话才能使用。
    }

    public AuthenticationInfo getAuthenticationInfo(AuthenticationToken token)
            throws AuthenticationException {
        // TODO Auto-generated method stub
        String name = (String)token.getPrincipal();
        String password =  new String((char[])token.getCredentials());;

        if (!("sheng".equals(name))){
            System.out.println("登录名字没有");
            throw new UnknownAccountException();
        }

        if (!("zhi".equals(password))){
            System.out.println("登录密码错误");
            throw new IncorrectCredentialsException();
        }
        return new SimpleAuthenticationInfo(name, password, getName());
    }

};

配置 ini文件

#文件名字为shirio-myrealm.ini
myRealm1=shiro.MyRealm1
securityManager.realms=$myRealm1

测试

@Test
    public void testHelloworldForMyRealm1() {
        //1、获取SecurityManager工厂，此处使用Ini配置文件初始化SecurityManager
        Factory<org.apache.shiro.mgt.SecurityManager> factory = new IniSecurityManagerFactory("classpath:shirio-myrealm.ini");
        //2、得到SecurityManager实例 并绑定给SecurityUtils
        org.apache.shiro.mgt.SecurityManager securityManager = factory.getInstance();
        SecurityUtils.setSecurityManager(securityManager);
        //3、得到Subject及创建用户名/密码身份验证Token（即用户身份/凭证）
        Subject subject = SecurityUtils.getSubject();
        UsernamePasswordToken token = new UsernamePasswordToken("sheng", "zhi");
        try {
            //4、登录，即身份验证
            subject.login(token);
            System.out.println("success");
        } catch (AuthenticationException e) {
            //5、身份验证失败
            System.out.println("fail");
            System.out.println(e.getMessage());

        }
        Assert.assertEquals(true, subject.isAuthenticated()); //断言用户已经登录
        //6、退出
        subject.logout();
    }

通过这个简单测试，我们知道，权限登录，首先要有realm（理解为数据源） token(登录信息) 以及manager管理 而authenticator属于manager里面。

realm 有

配置文件形式realm

#文件名shiro.ini

[users]
zhang=123
wang=123

jdbc形式（要注意对用户的验证根据自己需求重写！！！！导入的driver和平时的不一样！！！！）

#文件名shiro-jdbc-realm.ini

jdbcRealm=org.apache.shiro.realm.jdbc.JdbcRealm

dataSource=com.alibaba.druid.pool.DruidDataSource
dataSource.driverClassName=oracle.jdbc.OracleDriver
dataSource.url=jdbc:oracle:thin:@127.0.0.1:1521:ORCL
dataSource.username=userstudy
dataSource.password=s836659812S
jdbcRealm.dataSource=$dataSource
securityManager.realms=$jdbcRealm
jdbcRealm.authenticationQuery = select password from shiro where users = ?
jdbcRealm.userRolesQuery = SELECT user_roles FROM shiro WHERE users = ?
jdbcRealm.permissionsQuery = SELECT roles_permissions FROM shiro WHERE users = ?

以及多个realm的时候

#文件名shiro-authenticator-success.ini
#指定securityManager的authenticator实现
authenticator=org.apache.shiro.authc.pam.ModularRealmAuthenticator
securityManager.authenticator=$authenticator 

#指定securityManager.authenticator的authenticationStrategy
allSuccessfulStrategy=org.apache.shiro.authc.pam.AllSuccessfulStrategy  #在这里进行选择的策略
securityManager.authenticator.authenticationStrategy=$allSuccessfulStrategy

myRealm1=shiro.MyRealm1
myRealm2=shiro.MyRealm2
myRealm3=shiro.MyRealm3
securityManager.realms=$myRealm1,$myRealm2 #realm1和realm2结构相同，数据可能不一样

以及测试类

package shiro;

import junit.framework.Assert;

import org.apache.shiro.SecurityUtils;
import org.apache.shiro.authc.AuthenticationException;
import org.apache.shiro.authc.UsernamePasswordToken;
import org.apache.shiro.config.IniSecurityManagerFactory;
import org.apache.shiro.realm.jdbc.JdbcRealm;
import org.apache.shiro.subject.PrincipalCollection;
import org.apache.shiro.subject.Subject;
import org.apache.shiro.util.Factory;
import org.junit.Test;

public class UserTest {

    /*
    @Test
    public void testHelloworld() {
        //1、获取SecurityManager工厂，此处使用Ini配置文件初始化SecurityManager
        Factory<org.apache.shiro.mgt.SecurityManager> factory = new IniSecurityManagerFactory("classpath:shiro.ini");
        //2、得到SecurityManager实例 并绑定给SecurityUtils
        org.apache.shiro.mgt.SecurityManager securityManager = factory.getInstance();
        SecurityUtils.setSecurityManager(securityManager);
        //3、得到Subject及创建用户名/密码身份验证Token（即用户身份/凭证）
        Subject subject = SecurityUtils.getSubject();
        UsernamePasswordToken token = new UsernamePasswordToken("zhang", "123");
        try {
            System.out.println(UserTest.class.getResource(""));
            //4、登录，即身份验证
            subject.login(token);
            System.out.println("success");
        } catch (AuthenticationException e) {
            //5、身份验证失败
            System.out.println("login success.");
        }
        Assert.assertEquals(true, subject.isAuthenticated()); //断言用户已经登录
        //6、退出
        subject.logout();
    }
    */

    /*
    @Test
    public void testHelloworldForMyRealm1() {
        //1、获取SecurityManager工厂，此处使用Ini配置文件初始化SecurityManager
        Factory<org.apache.shiro.mgt.SecurityManager> factory = new IniSecurityManagerFactory("classpath:shirio-myrealm.ini");
        //2、得到SecurityManager实例 并绑定给SecurityUtils
        org.apache.shiro.mgt.SecurityManager securityManager = factory.getInstance();
        SecurityUtils.setSecurityManager(securityManager);
        //3、得到Subject及创建用户名/密码身份验证Token（即用户身份/凭证）
        Subject subject = SecurityUtils.getSubject();
        UsernamePasswordToken token = new UsernamePasswordToken("sheng", "zhi");
        try {
            //4、登录，即身份验证
            subject.login(token);
            System.out.println("success");
        } catch (AuthenticationException e) {
            //5、身份验证失败
            System.out.println("fail");
            System.out.println(e.getMessage());

        }
        Assert.assertEquals(true, subject.isAuthenticated()); //断言用户已经登录
        //6、退出
        subject.logout();
    }
    */

    /*
     @Test
        public void testJDBCRealm() {
            //1、获取SecurityManager工厂，此处使用Ini配置文件初始化SecurityManager
            Factory<org.apache.shiro.mgt.SecurityManager> factory =
                    new IniSecurityManagerFactory("classpath:shiro-jdbc-realm.ini");

            //2、得到SecurityManager实例 并绑定给SecurityUtils
            org.apache.shiro.mgt.SecurityManager securityManager = factory.getInstance();
            SecurityUtils.setSecurityManager(securityManager);

            //3、得到Subject及创建用户名/密码身份验证Token（即用户身份/凭证）
            Subject subject = SecurityUtils.getSubject();
            UsernamePasswordToken token = new UsernamePasswordToken("zhizhi", "567");

            try {
                //4、登录，即身份验证
                subject.login(token);
                System.out.println("success");
            } catch (AuthenticationException e) {
                //5、身份验证失败
                System.out.println("fail");
                e.printStackTrace();
            }

            Assert.assertEquals(true, subject.isAuthenticated()); //断言用户已经登录

            //6、退出
            subject.logout();
        }
        */

    private void login(String filePath){
        //1、获取SecurityManager工厂，此处使用Ini配置文件初始化SecurityManager
        Factory<org.apache.shiro.mgt.SecurityManager> factory =
                new IniSecurityManagerFactory(filePath);  

        //2、得到SecurityManager实例 并绑定给SecurityUtils
        org.apache.shiro.mgt.SecurityManager securityManager = factory.getInstance();
        SecurityUtils.setSecurityManager(securityManager);  

        //3、得到Subject及创建用户名/密码身份验证Token（即用户身份/凭证）
        Subject subject = SecurityUtils.getSubject();
        UsernamePasswordToken token = new UsernamePasswordToken("sheng", "zhi");
        try {
            //4、登录，即身份验证
            subject.login(token);
            System.out.println("success");
        } catch (AuthenticationException e) {
            //5、身份验证失败
            System.out.println("fail");
            System.out.println(e.getMessage());;
        }

    }

     @Test
        public void testAllSuccessfulStrategyWithSuccess() {
         login("classpath:shiro-authenticator-success.ini");
            Subject subject = SecurityUtils.getSubject();
            //得到一个身份集合，其包含了Realm验证成功的身份信息
            PrincipalCollection principalCollection = subject.getPrincipals();
            Assert.assertEquals(2, principalCollection.asList().size());
        } 

}

最常见的错误

Authentication failed for token submission [org.apache.shiro.authc.UsernamePasswordToken - sheng, rememberMe=false].  Possible unexpected error? (Typical or expected login exceptions should extend from AuthenticationException).

多半是配置文件写错名字了，比如少了$

以及可以自定义策略，自定义实现时一般继承org.apache.shiro.authc.pam.AbstractAuthenticationStrategy即可，具体可以参考代码com.github.zhangkaitao.shiro.chapter2.authenticator.strategy包下OnlyOneAuthenticatorStrategy 和AtLeastTwoAuthenticatorStrategy。