正文

新手必看！Shiro与Spring Boot深度集成指南，轻松掌握权限管理核心技巧

/0 浏览量
0917

想象一下，你正在开发一个大型企业级应用，用户数量庞大，功能复杂。这时，权限管理就成了一个头疼的问题。如何确保只有授权用户才能访问特定的资源？如何灵活地控制用户的行为？这时，你需要一个强大的权限管理框架。Shiro，一个强大的安全框架，可以帮你轻松解决这些问题。

Shiro是什么？

Shiro是一个开源的安全框架，提供了认证（Authentication）、授权（Authorization）、会话管理（Session Management）和加密（Cryptography）等安全服务。它设计简洁，功能强大，易于使用，非常适合用于Java应用。

Shiro的核心概念

  1. Subject：代表当前操作的用户，可以是任何东西，比如一个用户、一个线程甚至是一个进程。
  2. Principal：代表用户的身份，通常是一个唯一的标识符，比如用户名。
  3. Authentication：认证用户身份的过程，确保用户是合法的。
  4. Authorization：授权用户访问特定资源的过程，确保用户有权限执行操作。
  5. Session：会话管理，跟踪用户的会话状态。

Spring Boot与Shiro集成

Spring Boot是一个快速开发框架，简化了Spring应用的创建和配置。将Shiro集成到Spring Boot应用中，可以让权限管理变得更加简单。

添加依赖

首先，你需要在项目的pom.xml文件中添加Shiro的依赖。

<dependencies>
    <dependency>
        <groupId>org.apache.shiro</groupId>
        <artifactId>shiro-spring-boot-starter</artifactId>
        <version>1.6.0</version>
    </dependency>
</dependencies>

配置Shiro

Spring Boot提供了自动配置Shiro的功能，你只需要在application.properties或application.yml文件中做一些简单的配置。

shiro.filterChainDefinitionMap=\
auth = /auth/** = anon \
user = /user/** = user \
admin = /admin/** = admin

这个配置定义了三个过滤器链：

  • auth：任何用户都可以访问/auth/**路径。
  • user：需要认证的用户才能访问/user/**路径。
  • admin：需要认证并且拥有管理员权限的用户才能访问/admin/**路径。

编写认证和授权逻辑

接下来，你需要编写认证和授权的逻辑。Shiro提供了ShiroFilterFactoryBean来配置过滤器。

import org.apache.shiro.spring.web.ShiroFilterFactoryBean;
import org.apache.shiro.web.mgt.DefaultWebSecurityManager;
import org.springframework.context.annotation.Bean;
import org.springframework.context.annotation.Configuration;

import java.util.LinkedHashMap;
import java.util.Map;

@Configuration
public class ShiroConfig {

    @Bean
    public DefaultWebSecurityManager securityManager() {
        DefaultWebSecurityManager securityManager = new DefaultWebSecurityManager();
        // 配置Realm
        securityManager.setRealm(myRealm());
        return securityManager;
    }

    @Bean
    public ShiroFilterFactoryBean shiroFilterFactoryBean() {
        ShiroFilterFactoryBean shiroFilterFactoryBean = new ShiroFilterFactoryBean();
        shiroFilterFactoryBean.setSecurityManager(securityManager());
        
        Map<String, String> filterChainDefinitionMap = new LinkedHashMap<>();
        filterChainDefinitionMap.put("/auth/**", "anon");
        filterChainDefinitionMap.put("/user/**", "user");
        filterChainDefinitionMap.put("/admin/**", "admin");
        
        shiroFilterFactoryBean.setFilterChainDefinitionMap(filterChainDefinitionMap);
        return shiroFilterFactoryBean;
    }

    @Bean
    public MyRealm myRealm() {
        return new MyRealm();
    }
}

在这个配置中，我们定义了一个DefaultWebSecurityManager，并设置了Realm。Realm是Shiro中负责认证和授权的核心组件。

自定义Realm

接下来，你需要自定义一个Realm来处理认证和授权。

import org.apache.shiro.authc.*;
import org.apache.shiro.authz.AuthorizationInfo;
import org.apache.shiro.authz.SimpleAuthorizationInfo;
import org.apache.shiro.realm.AuthorizingRealm;
import org.apache.shiro.subject.PrincipalCollection;
import org.springframework.stereotype.Component;

@Component
public class MyRealm extends AuthorizingRealm {

    @Override
    protected AuthorizationInfo doGetAuthorizationInfo(PrincipalCollection principals) {
        SimpleAuthorizationInfo info = new SimpleAuthorizationInfo();
        // 根据用户角色添加权限
        info.addRole("user");
        info.addRole("admin");
        return info;
    }

    @Override
    protected AuthenticationInfo doGetAuthenticationInfo(AuthenticationToken token) throws AuthenticationException {
        String username = (String) token.getPrincipal();
        String password = new String((char[]) token.getCredentials());
        
        // 这里应该从数据库中获取用户信息
        if ("admin".equals(username) && "password".equals(password)) {
            return new SimpleAuthenticationInfo(username, password, getName());
        }
        
        throw new UnknownAccountException("用户名或密码错误");
    }
}

在这个Realm中，我们实现了doGetAuthorizationInfo和doGetAuthenticationInfo方法。doGetAuthorizationInfo方法用于获取用户的权限信息，doGetAuthenticationInfo方法用于认证用户身份。

实际应用

认证

在应用中，你可以使用ShiroSecurityUtils来获取当前用户的Subject，并进行认证。

import org.apache.shiro.SecurityUtils;
import org.apache.shiro.authc.UsernamePasswordToken;
import org.apache.shiro.subject.Subject;

public class AuthenticationExample {
    public static void main(String[] args) {
        Subject subject = SecurityUtils.getSubject();
        UsernamePasswordToken token = new UsernamePasswordToken("admin", "password");
        try {
            subject.login(token);
            System.out.println("认证成功");
        } catch (AuthenticationException e) {
            System.out.println("认证失败");
        }
    }
}

授权

在应用中，你可以使用Subject来检查用户是否有权限访问某个资源。

import org.apache.shiro.SecurityUtils;
import org.apache.shiro.subject.Subject;

public class AuthorizationExample {
    public static void main(String[] args) {
        Subject subject = SecurityUtils.getSubject();
        if (subject.isPermitted("admin:delete")) {
            System.out.println("有删除权限");
        } else {
            System.out.println("没有删除权限");
        }
    }
}

总结

通过以上步骤，你已经成功地将Shiro集成到了Spring Boot应用中，并实现了基本的认证和授权功能。Shiro提供了丰富的功能，你可以根据实际需求进行扩展和定制。希望这个指南能帮助你轻松掌握权限管理的核心技巧，让你的应用更加安全可靠。

-- 展开阅读全文 --