正文

掌握Shiro集成Spring Boot，轻松实现权限管理与认证！

/0 浏览量
0917

在开发过程中，权限管理和认证是两个非常重要的环节。Shiro是一个强大且易于使用的Java安全框架，它提供了身份验证、授权、加密和会话管理等功能。而Spring Boot作为当前最流行的Java后端开发框架之一，提供了快速开发的便利。本文将详细介绍如何在Spring Boot项目中集成Shiro，以实现权限管理和认证。

一、Shiro简介

Shiro是一个开源的安全框架，它的目标是简化Java应用程序中的认证、授权和会话管理等安全操作。Shiro的核心功能包括：

  • 身份验证：确认用户是否有权限访问某个资源。
  • 授权：确定用户对资源有哪些操作权限。
  • 会话管理：管理用户的登录、登出和在线状态。

二、Spring Boot集成Shiro

1. 添加依赖

首先，在Spring Boot项目的pom.xml文件中添加Shiro依赖：

<dependencies>
    <!-- Shiro核心依赖 -->
    <dependency>
        <groupId>org.apache.shiro</groupId>
        <artifactId>shiro-core</artifactId>
        <version>1.9.1</version>
    </dependency>
    <!-- Shiro与Spring集成 -->
    <dependency>
        <groupId>org.apache.shiro</groupId>
        <artifactId>shiro-spring</artifactId>
        <version>1.9.1</version>
    </dependency>
    <!-- Spring Boot Starter -->
    <dependency>
        <groupId>org.springframework.boot</groupId>
        <artifactId>spring-boot-starter-web</artifactId>
    </dependency>
</dependencies>

2. 配置Shiro

接下来，在Spring Boot项目的application.properties或application.yml文件中配置Shiro：

# Shiro配置
shiro.cacheManager=org.apache.shiro.cache.ehcache.EhCacheCacheManager
shiro.cacheManager.cacheName=shiro_cache
shiro.sessionManager.sessionValidationSchedulerEnabled=true
shiro.sessionManager.globalSessionTimeout=1800000
shiro.sessionManager.sessionValidationInterval=60000
shiro.sessionManager.sessionIdCookieEnabled=true
shiro.sessionManager.sessionIdCookieHttpOnly=true
shiro.sessionManager.sessionIdCookieName=sessionId

3. 编写认证和授权代码

在Spring Boot项目中，你可以通过以下步骤编写认证和授权代码：

  1. 创建Shiro Realm类，继承AuthorizingRealm类，并实现doGetAuthenticationInfo方法进行用户认证。
  2. 创建Shiro Filter类，继承FormAuthenticationFilter类，并重写executeLogin方法进行用户登录。
  3. 在Spring Boot项目中配置Shiro Filter。

下面是一个简单的示例：

import org.apache.shiro.authc.AuthenticationInfo;
import org.apache.shiro.authc.AuthenticationToken;
import org.apache.shiro.authc.SimpleAuthenticationInfo;
import org.apache.shiro.authz.AuthorizationInfo;
import org.apache.shiro.realm.AuthorizingRealm;
import org.apache.shiro.subject.PrincipalCollection;

public class CustomRealm extends AuthorizingRealm {

    @Override
    protected AuthenticationInfo doGetAuthenticationInfo(AuthenticationToken token) throws AuthenticationException {
        // 从token中获取用户名和密码
        String username = (String) token.getPrincipal();
        String password = new String((char[]) token.getCredentials());
        // 根据用户名查询数据库，获取用户信息
        // ...
        // 返回AuthenticationInfo对象
        return new SimpleAuthenticationInfo(username, password, getName());
    }

    @Override
    protected AuthorizationInfo doGetAuthorizationInfo(PrincipalCollection principals) {
        // 根据用户信息查询数据库，获取用户权限
        // ...
        // 返回AuthorizationInfo对象
        return null;
    }
}

import org.apache.shiro.web.filter.authc.FormAuthenticationFilter;

public class CustomFormAuthenticationFilter extends FormAuthenticationFilter {
    @Override
    protected boolean executeLogin(ServletRequest request, ServletResponse response) throws Exception {
        // 获取用户名和密码
        String username = getUsername(request);
        String password = getPassword(request);
        // 调用Realm进行用户认证
        AuthenticationInfo info = getSubject().authenticate(new UsernamePasswordToken(username, password));
        // 登录成功
        return true;
    }
}

import org.springframework.boot.SpringApplication;
import org.springframework.boot.autoconfigure.SpringBootApplication;
import org.springframework.context.annotation.Bean;
import org.apache.shiro.spring.web.ShiroFilterFactoryBean;
import org.apache.shiro.web.mgt.DefaultWebSecurityManager;
import org.apache.shiro.mgt.SecurityManager;

@SpringBootApplication
public class ShiroApplication {

    public static void main(String[] args) {
        SpringApplication.run(ShiroApplication.class, args);
    }

    @Bean
    public SecurityManager securityManager() {
        DefaultWebSecurityManager securityManager = new DefaultWebSecurityManager();
        securityManager.setRealm(customRealm());
        return securityManager;
    }

    @Bean
    public ShiroFilterFactoryBean shiroFilterFactoryBean(SecurityManager securityManager) {
        ShiroFilterFactoryBean shiroFilter = new ShiroFilterFactoryBean();
        shiroFilter.setSecurityManager(securityManager);
        // 配置过滤器规则
        // ...
        return shiroFilter;
    }

    @Bean
    public CustomRealm customRealm() {
        return new CustomRealm();
    }
}

4. 使用Shiro注解进行权限控制

在Spring Boot项目中，你可以使用Shiro提供的注解进行权限控制。以下是一些常用的Shiro注解：

  • @RequiresAuthentication：表示当前用户必须通过认证。
  • @RequiresPermissions：表示当前用户必须拥有某个权限。
  • @RequiresRoles：表示当前用户必须拥有某个角色。

以下是一个示例：

import org.apache.shiro.authz.annotation.RequiresAuthentication;
import org.apache.shiro.authz.annotation.RequiresPermissions;
import org.apache.shiro.authz.annotation.RequiresRoles;

@RestController
public class UserController {

    @RequiresAuthentication
    @GetMapping("/user/profile")
    public String getUserProfile() {
        return "User Profile";
    }

    @RequiresPermissions("user:edit")
    @GetMapping("/user/edit")
    public String editUser() {
        return "Edit User";
    }

    @RequiresRoles("admin")
    @GetMapping("/user/delete")
    public String deleteUser() {
        return "Delete User";
    }
}

三、总结

通过以上步骤，你可以在Spring Boot项目中集成Shiro，实现权限管理和认证。Shiro作为一个功能强大且易于使用的Java安全框架，可以大大简化Java应用程序的安全开发。希望本文能帮助你更好地理解Shiro集成Spring Boot的过程。

-- 展开阅读全文 --