shiro的笔记

shiro 就是一个安全管理框架 对身份验证、授权、密码和会话管理 这些操作

这张图就可以初步了解shiro

 

 Subject：主体，代表了当前“用户”，这个用户不一定是一个具体的人，与当前应用交互的任何东西都是Subject

SecurityManager：安全管理器；即所有与安全有关的操作都会与SecurityManager交互；且它管理着所有Subject；可以看出它是Shiro的核心，它负责与后边介绍的其他组件进行交互，如果学习过SpringMVC，你可以把它看成DispatcherServlet前端控制器

Realm：域，Shiro从从Realm获取安全数据（如用户、角色、权限），就是说SecurityManager要验证用户身份，那么它需要从Realm获取相应的用户进行比较以确定用户身份是否合法；也需要从Realm得到用户相应的角色/权限进行验证用户是否能进行操作；可以把Realm看成DataSource，即安全数据源。

 

也就是说对于我们而言，最简单的一个Shiro应用：

应用代码通过Subject来进行认证和授权，而Subject又委托给SecurityManager；

我们需要给Shiro的SecurityManager注入Realm，从而让SecurityManager能得到合法的用户及其权限进行判断。

从以上也可以看出，Shiro不提供维护用户/权限，而是通过Realm让开发人员自己注入

实战

认证-授权一组合

配置设置fiter 根据对应的设置对应就好了

1注入依赖

    <dependencies>
        <dependency>
            <groupId>org.springframework.boot</groupId>
            <artifactId>spring-boot-starter-thymeleaf</artifactId>
        </dependency>
        <dependency>
            <groupId>org.apache.shiro</groupId>
            <artifactId>shiro-spring</artifactId>
            <version>1.2.4</version>
        </dependency>

        <dependency>
            <groupId>org.springframework.boot</groupId>
            <artifactId>spring-boot-starter-web</artifactId>
        </dependency>
        <dependency>
            <groupId>org.mybatis.spring.boot</groupId>
            <artifactId>mybatis-spring-boot-starter</artifactId>
            <version>2.2.2</version>
        </dependency>

        <dependency>
            <groupId>mysql</groupId>
            <artifactId>mysql-connector-java</artifactId>
            <scope>runtime</scope>
        </dependency>
        <dependency>
            <groupId>org.springframework.boot</groupId>
            <artifactId>spring-boot-starter-test</artifactId>
            <scope>test</scope>
        </dependency>
    </dependencies>

 

2编写自定义realm 实现realm 
     复写两个方法
     授权
           认证成功后 进行授权 
     认证
           一般在登陆时就认证 没通过一切免谈

package com.jc.springboot_shiro.shiro;

import com.jc.springboot_shiro.Service.UserService;
import com.jc.springboot_shiro.domain.User;
import org.apache.shiro.SecurityUtils;
import org.apache.shiro.authc.*;
import org.apache.shiro.authz.AuthorizationInfo;
import org.apache.shiro.authz.SimpleAuthorizationInfo;
import org.apache.shiro.realm.AuthorizingRealm;
import org.apache.shiro.subject.PrincipalCollection;
import org.apache.shiro.subject.Subject;
import org.springframework.beans.factory.annotation.Autowired;

public class UserRelam extends AuthorizingRealm {
    @Autowired
    UserService service;

    @Override
    protected AuthorizationInfo doGetAuthorizationInfo(PrincipalCollection principalCollection) {
//        授权 得要用户吧 subject可以得到用户
        Subject subject = SecurityUtils.getSubject();
        User user = (User) subject.getPrincipal();
        //获取用户的角色
        String role = user.getRole();
        SimpleAuthorizationInfo info = new SimpleAuthorizationInfo();
        info.addRole(role);


        return info;
    }

    @Override
    protected AuthenticationInfo doGetAuthenticationInfo(AuthenticationToken authenticationToken) throws AuthenticationException {
//        认证 首先得拿到 token令牌 token里面有账号密码
        UsernamePasswordToken token= (UsernamePasswordToken) authenticationToken;
//        通过token来查有没有这个用户
        User user = service.findbyusername(token.getUsername());
        if(user !=null){
//            有这个用户 在比较密码 把正确密码带过去比对
            return new SimpleAuthenticationInfo(user,user.getPassword(),getName() );
        }

        return null;
    }
}

 

3编写配置类config shiroconfig 
  配置类三大金刚
ShiroFilterFactoryBean->SecurityManager-＞realm 
在bean里面编写内置过滤器 就是配置权限啥的 map

package com.jc.springboot_shiro.config;

import com.jc.springboot_shiro.shiro.UserRelam;
import org.apache.shiro.spring.web.ShiroFilterFactoryBean;
import org.apache.shiro.web.mgt.DefaultWebSecurityManager;
import org.springframework.beans.factory.annotation.Qualifier;
import org.springframework.context.annotation.Bean;
import org.springframework.context.annotation.Configuration;

import java.util.HashMap;
import java.util.Hashtable;
import java.util.Map;


//    ShiroFilterFactoryBean:第三步
 @Configuration
    public class shiroconfig {
        @Bean
        public ShiroFilterFactoryBean shiroFilterFactoryBean(@Qualifier("securityManager") DefaultWebSecurityManager securityManager) {
            ShiroFilterFactoryBean factoryBean = new ShiroFilterFactoryBean();
            //        设置安全管理器
            factoryBean.setSecurityManager(securityManager);
//            这里面写拦截 规则
//        添加shiro的内置过滤器
//            认证过滤器
            //anon：无需认证。
            //authc：必须认证。
            //authcBasic：需要通过 HTTPBasic 认证。
            //user：不一定通过认证，只要曾经被 Shiro 记录即可，比如：记住我。
            //授权过滤器
            //perms：必须拥有某个权限才能访问。
            //role：必须拥有某个角色才能访问。
            //port：请求的端口必须是指定值才可以。
            //rest：请求必须基于 RESTful，POST、PUT、GET、DELETE。
            //ssl：必须是安全的 URL 请求，协议 HTTPS。
            Map<String,String> map=new Hashtable<>();
//            new一个map存放信息
            map.put("/main","authc");
            map.put("/main","roles[admin]");
            //设置完权限后要放到fiter链里面
            factoryBean.setFilterChainDefinitionMap(map);

            return factoryBean;
        }
        //    DefaultWebSecurityManager:第二步
        @Bean
        public DefaultWebSecurityManager securityManager(@Qualifier("userRelam") UserRelam userRelam) {
            DefaultWebSecurityManager manager = new DefaultWebSecurityManager();
            manager.setRealm(userRelam);
            return manager;
        }
        //    Realm:创建realm对象,需要自定义:第一步,从后往前配置
        @Bean
        public UserRelam userRelam() {
            return new UserRelam();
        }
    }

 

4salt盐 加密 我不会
5测试 使用

subject.login开始

  @GetMapping("/login")
    public String main(String username , String password, Model model){
        Subject subject = SecurityUtils.getSubject();
        //得到subject 用户
        UsernamePasswordToken token = new UsernamePasswordToken(username,password);
        //获取账号密码 token令牌

        try {
            subject.login(token);
            //放进去认证

            return "main";
        } catch (AuthenticationException e) {
//            账号密码有问题 就会报错 然后catch异常就好了
            System.out.println(
                    "出错"
            );
            model.addAttribute("msg","账号密码错误");
            e.printStackTrace();
            return "login";
        }



    }

 

subject.logout结束

写个logout的 controller 就好了