正文

新手必看！Shiro与Spring Boot完美集成教程，轻松掌握安全配置与权限管理

/0 浏览量
0830

在当今的互联网时代，安全与权限管理是任何Web应用程序不可或缺的部分。Shiro作为一个强大的安全框架，可以提供认证、授权、加密等安全功能。而Spring Boot则因其简洁易用的特性，成为开发人员的热门选择。本文将带你详细了解如何将Shiro与Spring Boot完美集成，轻松实现安全配置与权限管理。

了解Shiro

Shiro是一个开源的安全框架，用于简化企业级Java应用中的认证、授权和会话管理等。它提供了易于理解的API和模块化设计，能够灵活地适应各种安全需求。

Shiro的核心概念

  • Subject：当前执行用户的身份表示，Shiro从用户角度进行安全控制，对于用户，它代表着用户的操作行为。
  • Authentication：认证，即用户身份验证。
  • Authorization：授权，即权限验证，对用户进行操作权限控制。
  • Session：会话管理，即用户在应用中的交互过程。

了解Spring Boot

Spring Boot是一个基于Spring框架的约定大于配置的编程模型，它使得Spring应用的开发变得极其简单。Spring Boot内置了许多常用配置，简化了项目的搭建和部署。

Spring Boot的特点

  • 自动配置：根据类路径下添加的jar依赖自动配置Spring应用。
  • 无代码生成和XML配置：使用注解而非XML进行配置。
  • 独立运行：Spring Boot应用可以作为独立的应用程序运行。

Shiro与Spring Boot的集成

添加依赖

在Spring Boot项目中集成Shiro，首先需要在pom.xml文件中添加Shiro的依赖。

<dependency>
    <groupId>org.apache.shiro</groupId>
    <artifactId>shiro-spring</artifactId>
    <version>1.8.0</version>
</dependency>

配置Shiro

在Spring Boot项目中，配置Shiro主要涉及以下几个步骤：

  1. 创建Shiro配置类：继承WebSecurityConfigurerAdapter，重写相关方法进行配置。
  2. 定义认证和授权逻辑：创建认证和授权的工厂类，实现Shiro的AuthenticatingRealm和AuthorizationInfo接口。
  3. 配置Shiro过滤器：将Shiro过滤器链添加到Spring Boot的过滤器链中。

以下是具体步骤的详细说明：

步骤一：创建Shiro配置类

@Configuration
public class ShiroConfig extends WebSecurityConfigurerAdapter {

    @Bean
    public SecurityManager securityManager() {
        DefaultSecurityManager securityManager = new DefaultSecurityManager();
        securityManager.setRealm(authRealm());
        return securityManager;
    }

    @Bean
    public AuthRealm authRealm() {
        return new AuthRealm();
    }

    @Override
    protected void configure(HttpSecurity http) throws Exception {
        http
            .authorizeRequests()
            .anyRequest().authenticated()
            .and()
            .formLogin()
            .loginPage("/login")
            .permitAll()
            .and()
            .logout()
            .permitAll();
    }
}

步骤二：定义认证和授权逻辑

public class AuthRealm extends AuthorizingRealm {

    @Override
    protected AuthenticationInfo doGetAuthenticationInfo(AuthenticationToken token) throws AuthenticationException {
        String username = (String) token.getPrincipal();
        String password = new String((char[]) token.getCredentials());

        // 根据用户名查询数据库，获取用户信息和密码
        User user = userService.findByUsername(username);
        if (user == null) {
            throw new UnknownAccountException("用户不存在！");
        }

        // 进行密码比对
        if (!password.equals(user.getPassword())) {
            throw new IncorrectCredentialsException("密码错误！");
        }

        SimpleAuthenticationInfo authenticationInfo = new SimpleAuthenticationInfo(
                user.getUsername(),
                user.getPassword(),
                getName()
        );
        return authenticationInfo;
    }

    @Override
    protected AuthorizationInfo doGetAuthorizationInfo(PrincipalCollection principals) {
        String username = (String) principals.getPrimaryPrincipal();

        // 根据用户名查询数据库，获取用户的角色和权限
        User user = userService.findByUsername(username);
        List<Role> roles = user.getRoles();
        Set<String> roleNames = new HashSet<>();
        for (Role role : roles) {
            roleNames.add(role.getName());
        }

        SimpleAuthorizationInfo authorizationInfo = new SimpleAuthorizationInfo();
        authorizationInfo.setRoles(roleNames);
        return authorizationInfo;
    }
}

步骤三：配置Shiro过滤器

public class ShiroFilterConfig implements WebMvcConfigurer {

    @Override
    public void configureDefaultServletHandling(DefaultServletHandlerConfigurer configurer) {
        configurer.enable();
    }

    @Override
    public void configure(WebSecurity web) throws Exception {
        web.ignoring().antMatchers("/static/**");
    }

    @Override
    protected void configure(HttpSecurity http) throws Exception {
        http
            .addFilterBefore(new ShiroFilter(), BasicAuthenticationFilter.class)
            .authorizeRequests()
            .anyRequest().authenticated()
            .and()
            .formLogin()
            .loginPage("/login")
            .permitAll()
            .and()
            .logout()
            .permitAll();
    }
}

总结

通过以上步骤，我们成功地将Shiro与Spring Boot进行了集成，实现了用户认证、授权和会话管理等安全功能。在实际开发中，可以根据项目需求对Shiro进行扩展，实现更多高级功能。希望本文对你有所帮助！

-- 展开阅读全文 --