shiro中的reaml理解及实现机制

        shiro中的reaml非常重要，所有的身份数据验证都在reaml中实现。可以把Realm看成DataSource，即安全数据源。

        Shiro从Realm获取安全数据（如用户、角色、权限），就是说SecurityManager要验证用户身份，那么它需要从Realm获取相应的用户进行比较以确定用户身份是否合法；

        也需要从Realm得到用户相应的角色/权限进行验证用户是否能进行操作。

        下面以例子讲解其实现机制：

         最开始用户、角色、权限都配置在shiro.ini配置文件中。

       

      但实际项目中更多的是保存数据库中，因此reaml就应运而生，很好的帮我们做到了这一点。所有的身份认证都需经过它。

      shiro配置文件中只需配置Reaml，用户和角色就不需配置了

     

      我们需要给Shiro的SecurityManager注入自定义Realm

     自定义Realm中只需继承抽象类AuthorizingRealm即可，重写身份认证和权限认证方法。

    

     

/**
 * 
 */
package com.hik.realm;

import java.sql.Connection;
import java.sql.SQLException;

import org.apache.shiro.authc.AuthenticationException;
import org.apache.shiro.authc.AuthenticationInfo;
import org.apache.shiro.authc.AuthenticationToken;
import org.apache.shiro.authc.SimpleAuthenticationInfo;
import org.apache.shiro.authz.AuthorizationInfo;
import org.apache.shiro.authz.SimpleAuthorizationInfo;
import org.apache.shiro.realm.AuthorizingRealm;
import org.apache.shiro.subject.PrincipalCollection;

import com.hik.dao.UserDao;
import com.hik.entity.User;
import com.hik.util.Dbutil;

/**
 * @ClassName: MyRealm
 * @Description: TODO
 * @author jed
 * @date 2017年7月22日下午4:33:44
 *
 */
public class MyRealm extends AuthorizingRealm{
    
    private Dbutil dbutil=new Dbutil();
    private UserDao userDao = new UserDao();

    /**
     *为当前登录的用户授予角色和权限
     */
    @Override
    protected AuthorizationInfo doGetAuthorizationInfo(PrincipalCollection principals) {
        String userName = (String) principals.getPrimaryPrincipal();
        SimpleAuthorizationInfo authorizationInfo = new SimpleAuthorizationInfo();
        Connection con = null;
        try {
            con = dbutil.getConnection();
            authorizationInfo.setRoles(userDao.getRoles(con, userName));
            authorizationInfo.setStringPermissions(userDao.getPermissions(con, userName));
        } catch (Exception e) {
            // TODO Auto-generated catch block
            e.printStackTrace();
        }finally {
            try {
                con.close();
            } catch (SQLException e) {
                // TODO Auto-generated catch block
                e.printStackTrace();
            }
        }
        return authorizationInfo;
    }

    /**
     * 验证当前登录的用户
     */
    @Override
    protected AuthenticationInfo doGetAuthenticationInfo(AuthenticationToken token) throws AuthenticationException {
        String userName = (String)token.getPrincipal();
        Connection con = null;
        try {
             con =dbutil.getConnection();
             User currentUser = userDao.getUserByUserName(con, userName);
             if(currentUser!=null){
                 AuthenticationInfo authcInfo = new SimpleAuthenticationInfo(currentUser.getUserName(),currentUser.getPassword(),"myRealm");
                 return authcInfo;
             }else{
                 return null;
             }
        } catch (Exception e) {
            // TODO Auto-generated catch block
            e.printStackTrace();
        }finally {
            try {
                con.close();
            } catch (SQLException e) {
                // TODO Auto-generated catch block
                e.printStackTrace();
            }
        }
        return null;
    }

}

 

    其中：

          doGetAuthenticationInfo ：身份认证（验证当前登录的用户）

          doGetAuthorizationInfo ：身份认证通过，该身份拥有的角色和权限。为当前登录的用户授予角色和权限。

  

       当用户在拿到token（前台传过来用户名和密码生成）进行登录时，

      登入代码

         

@Override
    protected void doPost(HttpServletRequest req, HttpServletResponse resp) throws ServletException, IOException {
        System.out.println("login dopost");
        log.info("login dopost");
        String userName = req.getParameter("userName");
        String password = req.getParameter("password");
        UsernamePasswordToken token = new UsernamePasswordToken(userName,password);
        Subject subject = SecurityUtils.getSubject();
        Session session = subject.getSession();
        System.out.println("sessionId: "+session.getId());
        System.out.println("sessionHost: "+session.getHost());
        System.out.println("sessionTimeout: "+session.getTimeout());
        session.setAttribute("info", "session的数据");
        try{
            subject.login(token);
            resp.sendRedirect("success.jsp"); //重定向
        }catch(Exception e){
            log.error("登录失败", e);
            req.setAttribute("errorInfo", "用户名或者密码错误");
            req.getRequestDispatcher("login.jsp").forward(req, resp);//请求转发
        }
    }

       subject.login(token);

      进入自定义realm（继承AuthorizingRealm）的doGetAuthenticationInfo方法和doGetAuthorizationInfo方法

       doGetAuthenticationInfo ：进行身份认证（验证当前登录的用户，token中获取的用户与后台数据库用户进行比对，存在则身份认证通过）。

       一旦身份认证通过后，进入doGetAuthorizationInfo方法  则查询该身份拥有的角色及赋予的权限，并为当前登录的用户授予角色和权限。

      整个过程完成，则实现了用户的身份认证，及角色和权限授予。

      

    其实 Realm看成DataSource，即安全数据源。