shiro权限框架
权限的组成部分:用户 资源 角色 权限
数据库关系表设计是根据自己项目需求设计的
account表
role表(id,rolename)
account_role(id,aid,rid)
permission(id,pername)
role_permission(id,rid,pid)
没有设置用户和权限的关系,我们可以认为用户的权限是通过角色来决定的
1.导入jar包
shiro-all-1.2.1.jar
2.配置web.xml
<!-- 权限过滤器-->
<filter>
<filter-name>shiroFilter</filter-name>
<!-- 委托给spring,所以还要在spring中配置 -->
<filter-class>org.springframework.web.filter.DelegatingFilterProxy</filter-class>
</filter>
<filter-mapping>
<filter-name>shiroFilter</filter-name>
<url-pattern>/*</url-pattern>
</filter-mapping>
3.新建applicationContext-shiro.xml
因为在web.xml中有配置spring容器,它会读取applicationContext开头的配置文件
<context-param>
<param-name>contextConfigLocation</param-name>
<param-value>classpath:applicationContext*.xml</param-value>
</context-param>
<?xml version="1.0" encoding="UTF-8"?>
<beans xmlns="http://www.springframework.org/schema/beans"
xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance"
xsi:schemaLocation="
http://www.springframework.org/schema/beans http://www.springframework.org/schema/beans/spring-beans.xsd"
>
<bean id="securityManager" class="org.apache.shiro.web.mgt.DefaultWebSecurityManager">
<property name="cacheManager" ref="cacheManager"/>
<!-- 权限框架的操作类 myShiroRealm,可以service中新建这个类-->
<property name="realm" ref="myShiroRealm"/>
</bean>
<bean id="shiroFilter" class="org.apache.shiro.spring.web.ShiroFilterFactoryBean">
<property name="securityManager" ref="securityManager"/>
<!-- 以下是跟登录权限有关的配置 -->
<!-- 配置登录的url -->
<property name="loginUrl" value="/"/>
<!-- 登录成功的url -->
<property name="successUrl" value="/book/1"/>
<!-- 没有权限的url -->
<property name="unauthorizedUrl" value="/403"/>
<property name="filterChainDefinitions">
<value>
<!-- 静态资源不用认证 要放在/** = authc之前,因为当所有的都要认证的时候再写它就没用了-->
/static/** = anon
<!-- 角色配置,没有管理员这个角色的账户是不能访问/book/**里面的内容的 -->
/book/** = roles[管理员]
<!-- 权限配置,不要只在界面上用标签配置 没有book:add的权限的账户是不能访问/book/add的
但是如果没有权限你还是要访问的话,就要到上面的<property name="unauthorizedUrl" value="/403"/>
里面了,自定义一个403页面,这里举出一个例子,可以在mvc-servlet配置静态资源
<mvc:view-controller path="/403" view-name="403"/>-->
/book/add = perms[book:add]
<!-- (根目录及其子目录)所有的资源都是需要认证的 这个时候以前mvc-servlet里面的拦截器就不用写了-->
/** = authc
</value>
</property>
</bean>
<bean id="cacheManager"
class="org.apache.shiro.cache.MemoryConstrainedCacheManager" />
<bean id="lifecycleBeanPostProcessor"
class="org.apache.shiro.spring.LifecycleBeanPostProcessor" />
</beans>
举例
package com.kaishengit.service;
import javax.inject.Inject;
import javax.inject.Named;
import org.apache.shiro.authc.AuthenticationException;
import org.apache.shiro.authc.AuthenticationInfo;
import org.apache.shiro.authc.AuthenticationToken;
import org.apache.shiro.authc.SimpleAuthenticationInfo;
import org.apache.shiro.authc.UsernamePasswordToken;
import org.apache.shiro.authz.AuthorizationInfo;
import org.apache.shiro.authz.SimpleAuthorizationInfo;
import org.apache.shiro.realm.AuthorizingRealm;
import org.apache.shiro.subject.PrincipalCollection;
import com.kaishengit.pojo.Admin;
// 需要继承自AuthorizingRealm并实现它的方法
@Named
public class MyShiroRealm extends AuthorizingRealm{
@Inject
private AdminService adminService;
/**
* 权限认证方法
*/
@Override
protected AuthorizationInfo doGetAuthorizationInfo(PrincipalCollection pCollection) {
//获取当前登录的用户名
String loginName = (String) pCollection.fromRealm(getName()).iterator().next();
Admin admin = adminService.findByName(loginName);
if(admin != null) {
SimpleAuthorizationInfo sInfo = new SimpleAuthorizationInfo();
//1. 获取当前用户拥有的所有角色
sInfo.setRoles(adminService.getRoles(admin));
/* adminService中的该方法
public Set<String> getRoles(Admin admin) {
List<Role> roles = roleDao.findByAdminId(admin.getId());
因为是要返回的set集合
Set<String> roleNames = new HashSet<String>();
for(Role r : roles) {
roleNames.add(r.getRolename());
}
return roleNames;
}*/
//2. 获取当前用户拥有的所有权限
// 还有一个方法,跟下面的不同的是set第二次会覆盖,add表示添加
//sInfo.addStringPermissions(adminService.getPermissions(admin));
sInfo.setStringPermissions(adminService.getPermissions(admin));
/* adminService中的该方法
public Set<String> getPermissions(Admin admin) {
一个账户可能有多个角色
List<Role> roles = roleDao.findByAdminId(admin.getId());
Set<String> permissions = new HashSet<String>();
for(Role role : roles) {
一个角色可能有多个权限
List<Permission> perList = permissionDao.findByRoleId(role.getId());
for(Permission p : perList) {
装入set集合
permissions.add(p.getPername());
}
}
return permissions;
}
*/
return sInfo;
}
return null;
}
/**
* 登录认证方法
*/
@Override
protected AuthenticationInfo doGetAuthenticationInfo(
AuthenticationToken auToken) throws AuthenticationException {
// 强制转换
UsernamePasswordToken token = (UsernamePasswordToken) auToken;
// 通过名字查询,用的是token.getUsername,那这个名字是从哪里放进来的呢,是在controller中new出来
// 的token,然后传进去的账户信息,然后在这里get
Admin admin = adminService.findByName(token.getUsername());
if(admin != null) {
// 如果查询得到一个admin就算登录成功 ,因为下面的构造函数会传入账户和密码,然后自动检测
return new SimpleAuthenticationInfo(admin.getName(),admin.getPassword(),getName());
}
return null;
}
}
@Controller public class AdminController { @Inject private AdminService adminService; @RequestMapping(value="/",method=RequestMethod.POST) public String login(Admin admin,HttpSession session,RedirectAttributes redirectAttributes) { try { /* 在这里new出来 UsernamePasswordToken,传入账户信息 当在这里调用login的时候就会自动调用MyShiroRealm中登录认证的那个方法 这个方法是不会抛出异常的,但是我们还是要try catch一下,因为这个方法不能做判断 所以当来到catch的时候就说明登录失败了*/ SecurityUtils.getSubject().login(new UsernamePasswordToken(admin.getName(), admin.getPassword())); return "redirect:/book/1"; } catch (AuthenticationException e) { redirectAttributes.addFlashAttribute("message", "账号或密码错误"); return "redirect:/"; } /* 这是以前的方法 Admin currAdmin = adminService.login(admin.getName(),admin.getPassword()); if(currAdmin == null) { redirectAttributes.addFlashAttribute("message", "账号或密码错误"); return "redirect:/"; } else { session.setAttribute("curr_admin", currAdmin); return "redirect:/book"; }*/ } }
jsp中对应的标签
首先导入标签
<%@ taglib prefix="shiro" uri="http://shiro.apache.org/tags" %>
<!-- 该账户有的角色中存在权限 book:add权限的话就能添加书籍--> <shiro:hasPermission name="book:add"> <a href="/book/add" class="btn btn-success">添加书籍</a> </shiro:hasPermission> <table class="table"> <thead> <tr> <th>书籍编号</th> <th>书籍名称</th> <th>作者</th> <th>出版社</th> <th>总数量</th> <th>当前数量</th> <th>#</th> </tr> </thead> <tbody> <c:forEach items="${bookList }" var="book"> <tr> <td>${book.code }</td> <td>${book.name }</td> <td>${book.author }</td> <td>${book.publish }</td> <td>${book.total}</td> <td>${book.nowcount }</td> <td> <shiro:hasPermission name="book:edit"> <a href="/book/edit/${book.id }">修改</a> </shiro:hasPermission> <shiro:hasPermission name="book:remove"> <a href="/book/del/${book.id }">删除</a> </shiro:hasPermission> </td> </tr> </c:forEach> </tbody> </table>
这个标签只是在界面上控制不让它显示,但是如果在url上直接进入还是控制不住的,所以要在
applicationContext-shiro.xml 配置,见上...
