正文

掌握Shiro集成Spring Boot，轻松实现安全认证与授权全攻略

/0 浏览量
0907

在当今的软件开发中，安全认证与授权是确保系统安全性的关键环节。Shiro框架作为Java安全框架的佼佼者，与Spring Boot的集成能够为我们提供强大的安全支持。本文将详细讲解如何将Shiro集成到Spring Boot项目中，实现安全认证与授权。

一、Shiro简介

Shiro是一个开源的安全框架，它提供了身份验证、授权、会话管理和加密等功能。Shiro的核心组件包括：

  • Subject：代表当前用户。
  • SecurityManager：Shiro的核心安全管理器，负责管理内部组件。
  • Realm：用于从数据源获取安全数据，如用户名、密码、角色和权限等。
  • SessionManager：用于管理会话。
  • CacheManager：用于缓存Shiro的会话、用户权限等数据。

二、Shiro集成Spring Boot

1. 添加依赖

首先，在Spring Boot项目的pom.xml文件中添加Shiro依赖：

<dependency>
    <groupId>org.apache.shiro</groupId>
    <artifactId>shiro-spring-boot-starter</artifactId>
    <version>1.7.1</version>
</dependency>

2. 配置Shiro

在application.properties或application.yml文件中配置Shiro：

shiro.cacheManager=org.apache.shiro.cache.ehcache.EhCacheManager
shiro.sessionManager.sessionValidationSchedulerEnabled=true
shiro.sessionManager.globalSessionTimeout=1800000
shiro.sessionManager.sessionValidationInterval=60000
shiro.sessionManager.sessionIdCookieEnabled=true
shiro.sessionManager.sessionIdCookieHttpOnly=true
shiro.sessionManager.sessionIdCookieName=shiro.session.id

3. 创建Shiro配置类

创建一个继承WebSecurityConfigurerAdapter的配置类，用于配置Shiro：

@Configuration
@EnableShiro
public class ShiroConfig extends WebSecurityConfigurerAdapter {

    @Bean
    public DefaultWebSecurityManager securityManager() {
        DefaultWebSecurityManager securityManager = new DefaultWebSecurityManager();
        securityManager.setRealm(myRealm());
        return securityManager;
    }

    @Bean
    public Realm myRealm() {
        MyRealm myRealm = new MyRealm();
        return myRealm;
    }

    @Override
    protected void configure(HttpSecurity http) throws Exception {
        http
            .authorizeRequests()
            .antMatchers("/login", "/logout").permitAll()
            .anyRequest().authenticated()
            .and()
            .formLogin()
            .loginPage("/login")
            .permitAll()
            .and()
            .logout()
            .permitAll();
    }
}

4. 创建自定义Realm

创建一个继承AuthorizingRealm的类，用于处理认证和授权：

public class MyRealm extends AuthorizingRealm {

    @Override
    protected AuthenticationInfo doGetAuthenticationInfo(AuthenticationToken token) throws AuthenticationException {
        // 根据token获取用户信息
        // ...
        // 返回AuthenticationInfo对象
        return new SimpleAuthenticationInfo(user, password, getName());
    }

    @Override
    protected AuthorizationInfo doGetAuthorizationInfo(PrincipalCollection principals) {
        // 根据用户信息获取权限信息
        // ...
        // 返回AuthorizationInfo对象
        return new SimpleAuthorizationInfo();
    }
}

三、安全认证与授权

1. 认证

在Controller中，使用@PreAuth注解标注需要认证的方法：

@RestController
@RequestMapping("/user")
public class UserController {

    @PreAuth("hasRole('admin')")
    @GetMapping("/info")
    public String getInfo() {
        return "Hello, admin!";
    }
}

2. 授权

在Controller中，使用@PreAuthorize注解标注需要授权的方法：

@RestController
@RequestMapping("/user")
public class UserController {

    @PreAuthorize("hasPermission('user:delete')")
    @GetMapping("/delete/{id}")
    public String deleteUser(@PathVariable Long id) {
        // 删除用户
        return "User " + id + " deleted!";
    }
}

四、总结

通过以上步骤，我们成功将Shiro集成到Spring Boot项目中，并实现了安全认证与授权。在实际项目中，可以根据需求进行扩展和定制，如添加自定义的认证和授权逻辑、缓存策略等。希望本文能帮助您更好地理解和应用Shiro安全框架。

-- 展开阅读全文 --