正文

掌握Boot集成Shiro：安全认证与权限管理实战指南

/0 浏览量
0917

Shiro是一个强大的Java安全框架，用于身份验证、授权和会话管理。它提供了一个灵活的架构，可以帮助开发者轻松实现复杂的安全需求。当我们将Shiro集成到Spring Boot项目中时，可以大幅提升项目的安全性。本文将详细介绍如何在Spring Boot中集成Shiro，以及如何进行安全认证和权限管理。

一、Shiro的基本概念

在介绍集成Shiro之前，我们需要了解Shiro的一些基本概念：

  1. 主体（Subject）：代表当前用户。
  2. 认证（Authentication）：验证用户身份的过程。
  3. 授权（Authorization）：验证用户是否具有执行某个操作的权限。
  4. 会话（Session）：存储用户在应用程序中的状态信息。

二、Spring Boot集成Shiro

1. 添加依赖

首先，在项目的pom.xml文件中添加Shiro和Spring Boot的依赖。

<dependencies>
    <!-- Shiro -->
    <dependency>
        <groupId>org.apache.shiro</groupId>
        <artifactId>shiro-core</artifactId>
        <version>1.9.0</version>
    </dependency>
    <dependency>
        <groupId>org.apache.shiro</groupId>
        <artifactId>shiro-spring</artifactId>
        <version>1.9.0</version>
    </dependency>
    <!-- Spring Boot -->
    <dependency>
        <groupId>org.springframework.boot</groupId>
        <artifactId>spring-boot-starter-web</artifactId>
    </dependency>
</dependencies>

2. 配置Shiro

在application.properties或application.yml中配置Shiro。

shiro.cacheManager=org.apache.shiro.cache.ehcache.EhCacheManager
shiro.sessionManager=org.apache.shiro.session.mgt.DefaultSessionManager

3. 编写Shiro配置类

创建一个配置类，用于配置Shiro。

@Configuration
public class ShiroConfig {

    @Bean
    public DefaultWebSecurityManager securityManager() {
        DefaultWebSecurityManager securityManager = new DefaultWebSecurityManager();
        securityManager.setRealm(authenticationRealm());
        return securityManager;
    }

    @Bean
    public AuthorizationCache authorizationCache() {
        AuthorizationCache authorizationCache = new AuthorizingCacheImpl();
        authorizationCache.setName("AuthorizationCache");
        return authorizationCache;
    }

    @Bean
    public SimpleCookie simpleCookie() {
        SimpleCookie cookie = new SimpleCookie("shiro.session.cookie.name");
        cookie.setHttpOnly(true);
        return cookie;
    }

    @Bean
    public DefaultSessionManager defaultSessionManager() {
        DefaultSessionManager defaultSessionManager = new DefaultSessionManager();
        defaultSessionManager.setSessionValidationSchedulerEnabled(true);
        return defaultSessionManager;
    }

    @Bean
    public ShiroFilterFactoryBean shiroFilterFactoryBean(SecurityManager securityManager) {
        ShiroFilterFactoryBean shiroFilterFactoryBean = new ShiroFilterFactoryBean();
        shiroFilterFactoryBean.setSecurityManager(securityManager);
        return shiroFilterFactoryBean;
    }

    @Bean
    public Realm authenticationRealm() {
        return new MyRealm();
    }
}

4. 编写自定义Realm

创建一个自定义的Realm，用于处理认证和授权。

public class MyRealm extends AuthorizingRealm {

    @Override
    protected AuthenticationInfo doGetAuthenticationInfo(AuthenticationToken token) throws AuthenticationException {
        String username = (String) token.getPrincipal();
        String password = new String((char[]) token.getCredentials());
        // 查询用户信息，进行认证
        // ...
        SimpleAuthenticationInfo info = new SimpleAuthenticationInfo(username, password, getName());
        return info;
    }

    @Override
    protected AuthorizationInfo doGetAuthorizationInfo(PrincipalCollection principals) {
        String username = (String) principals.getPrimaryPrincipal();
        // 查询用户权限，进行授权
        // ...
        SimpleAuthorizationInfo info = new SimpleAuthorizationInfo();
        return info;
    }
}

三、安全认证与权限管理

1. 认证

在控制器方法中，使用@PreAuth注解标注需要进行认证的方法。

@Controller
@RequestMapping("/user")
public class UserController {

    @PreAuth("hasRole('user')")
    @GetMapping("/info")
    public String info() {
        return "user info";
    }
}

2. 授权

在自定义Realm的doGetAuthorizationInfo方法中，根据用户信息查询其权限，并将其设置到SimpleAuthorizationInfo对象中。

@Override
protected AuthorizationInfo doGetAuthorizationInfo(PrincipalCollection principals) {
    String username = (String) principals.getPrimaryPrincipal();
    List<String> permissions = userMapper.findPermissionsByUserName(username);
    SimpleAuthorizationInfo info = new SimpleAuthorizationInfo();
    info.addStringPermissions(permissions);
    return info;
}

四、总结

通过本文的介绍，相信你已经掌握了如何在Spring Boot项目中集成Shiro，以及如何进行安全认证和权限管理。Shiro是一个非常实用的安全框架，可以帮助开发者轻松实现复杂的安全需求。希望本文对你有所帮助。

-- 展开阅读全文 --