安全框架·shiro

官网：shiro.apache.org

目录：

shiro 概念

Shiro 框架认证拦截实现

Shiro 框架认证业务实现

Shiro 中授权过程的实现

授权业务 DAO 实现

Shiro安全框架
1.  shiro概念:

  Shiro是apache旗下一个开源的安全框架,可以将软件中安全认证相关的功能提取出来,实现用户身份认证,权限授权,加密功能,组成了一个通用的安全框架

 

官方截图
Subject: 主体对象,负责提交用户的认证以及授权信息

SecurityManager: 安全管理器,负责认证,授权等业务实现

Realm: 领域对象,负责从数据层获取数据

Shiro详细架构:

 

Subject: 主体对象,负责提交用户的认证以及授权信息

SecurityManager: 安全管理器,负责认证,授权等业务实现,是shiro的绝对核心,用来管理组件

Authenticator: 认证管理器,负责认证操作

Authorizer: 授权管理器,负责授权检测

SessionManager: 会话管理器,负责创建用户session,以及管理session生命周期

SessionDao: SessionManager对象执行的操作进行持久化

CacheManager: 缓存管理器,提供创建缓存的实例,维护缓存的生命周期

Cryptography: 加密管理器,提供了一些加密方式

Shiro框架认证拦截实现

1.  添加依赖

2.  Shiro核心对象的配置:

 2.1 创建SpringShiroConfig类,为shiro添加配置

2.2 在SpringShiroConfig类中添加一个securityManager对象的配置

2.3在shiro配置类中添加ShiroFilterFactoryBean对象的配置,可以通过此对象设置匿名访问的资源,认证访问的资源

 

 

Shiro框架认证业务实现

 身份认证判断用户是否为系统的合法用户,用户访问系统资源的认证(对用户身份信息的认证)

其中认证流程如下:

1. 系统调用subject的login方法将用户信息提交给securityManager

2. securityManager会将认证操作委托给认证管理器Authenticator

3. Authenticator将用户输入的身份信息传递给realm对象

4. realm对象访问数据库层获取用户信息然后对信息进行封装并且返回

5. Authenticator对realm对象的返回信息进行身份认证

 

realm==>SysUserRealm

SysUserRealm.java

SysUserRealm.java

SysUserController.java

GlobalExceptionHandler.java

Shiro 中授权过程的实现

判断用户是否允许访问某一个资源

授权流程:

1. 系统调用subject的相关方法提交用户信息给securityManager

2. securityManager将授权操作委托给authorizer授权管理器对象

3. authorizer将用户的权限信息传给realm

4. realm去访问数据层获取用户信息,再将信息进行比对

5. authorizer对返回的realm对象返回的信息进行对比

原理:

授权底层是用到了AOP,而且是原生的AOP

访问(调用)某一个方法的时候,判断有没有调用这个方法的权限

授权访问,授权方法是一个切入点方法,增强的业务判断有没有调用这个方法的权限

访问某一个方法所需要的权限交给securityManager

组件authorizer去校验你这个用户到底有没有访问这个方法的权限

 

Subject提交的是访问这个方法需要什么权限

Realm对象去查询用户有什么权限 是否包含访问这个方法所需要的权限

如果包含则授权访问,否则抛异常

授权业务DAO实现

实现方法1：进行多次单表查询（下面是示例）

实现方法2：多表联合查询

1.   基于登录用户id查询对应的角色ID（SysUserRoleDao）

2.   再基于查询出来的角色ID找到相应的菜单ID  (SysRoleMenuDao)

 

3.     再基于查询出来的菜单ID查询权限标识  (SysMenuDao)

 

 

realm==>ShiroUseRealm

ShiroUseRealm.java

service==>impl==>SysLogServiceImpl

作者：羽猫君 https://www.bilibili.com/read/cv19157824 出处：bilibili