Apache Shiro Tutorial 简单构建一个shiro应用
Apache Shiro Tutorial
第一个shiro应用
使用ini配置文件代表用户分组、密码、权限
slf4j+log4j日志输出
加载配置
public static void main(String[] args) {
log.info("My First Apache Shiro Application");
//1.
Factory<SecurityManager> factory = new IniSecurityManagerFactory("classpath:shiro.ini");
//2.
SecurityManager securityManager = factory.getInstance();
//3.
SecurityUtils.setSecurityManager(securityManager);
System.exit(0);
}
使用shiro进行验证和授权访问
subject代表用户
官方描述：
a security-specific view of the currently executing user
更加广泛，并不一定指人也可以是第三方平台进程、定时任务、守护进程或任何类似的东西
It simply means ‘the thing that is currently interacting with the software’.
基本上在所有环境中都可以通过
Subject currentUser = SecurityUtils.getSubject();
来获取当前用户
getSubject会获取当前线程中保存的用户信息（是根据现成的threadlocal来获取的
page request session application
web应用中代表一次请求request（还是一次session？
it acquires the Subject based on user data associated with current thread or incoming request.
多半是request
在程序运行时可获取当前用户与应用程序的会话 （session）无需在web环境中也可以获取（shiro的内置session？）
这里的Session代表shiro内置的，可以实现大部分HttpSession的功能并且有些额外的自己的功能
shiro自动识别不同环境，在web应用程序中使用基于HttpSession，在非web环境中提供shiro自己的企业级session管理器，可以在不同的应用中使用相同API
subject结构
[外链图片转存失败,源站可能有防盗链机制,建议将图片保存下来直接上传(img-Svau2OhJ-1599285040726)(D:\Learning\shiro\Apache Shiro Tutorial.assets\image-20200829160102948.png)]
根据不同的subject环境获取session
获取subject就可以检查角色及其权限
检查用户是否登录，没登陆就获取用户名密码进行登录验证
if ( !currentUser.isAuthenticated() ) {
//collect user principals and credentials in a gui specific manner
//such as username/password html form, X509 certificate, OpenID, etc.
//We'll use the username/password example here since it is the most common.
UsernamePasswordToken token = new UsernamePasswordToken("lonestarr", "vespa");
//this is all you have to do to support 'remember me' (no config - built in!):
token.setRememberMe(true);
currentUser.login(token);
}
通过丰富的验证示范exception
来支持您根据发生的不同情况进行处理做出反应
try {
currentUser.login( token );
//if no exception, that's it, we're done!
} catch ( UnknownAccountException uae ) {
//username wasn't in the system, show them an error message?
} catch ( IncorrectCredentialsException ice ) {
//password didn't match, try again?
} catch ( LockedAccountException lae ) {
//account for that username is locked - can't login. Show them a message?
}
... more types exceptions to check if you want ...
} catch ( AuthenticationException ae ) {
//unexpected condition - error?
}
// shiro登录
Subject currentUser = SecurityUtils.getSubject();
AuthToken token = new AuthToken(JSONObject.toJSONString(staffInfo));
String cSession;
try {
currentUser.login(token);
// 设置登录用户信息缓存
Session session = currentUser.getSession();
cSession = session.getId().toString();
} catch (UnknownAccountException e) {
throw new CheckResultException(ErrMsg.NO_ACCOUNT);
} catch (IncorrectCredentialsException e) {
throw new CheckResultException(ErrMsg.INVALID_ACCOUNT_PASS);
}
登录后调用自己实现的realm的逻辑去验证登录
NoPassRealm->doGetAuthenticationInfo
登录后可以进行角色验证和权限验证然后登出
//say who they are:
//print their identifying principal (in this case, a username):
log.info("User [" + currentUser.getPrincipal() + "] logged in successfully.");
//test a role:
if (currentUser.hasRole("schwartz")) {
log.info("May the Schwartz be with you!");
} else {
log.info("Hello, mere mortal.");
}
//test a typed permission (not instance-level)
if (currentUser.isPermitted("lightsaber:wield")) {
log.info("You may use a lightsaber ring. Use it wisely.");
} else {
log.info("Sorry, lightsaber rings are for schwartz masters only.");
}
//a (very powerful) Instance Level permission:
if (currentUser.isPermitted("winnebago:drive:eagle5")) {
log.info("You are permitted to 'drive' the winnebago with license plate (id) 'eagle5'. " +
"Here are the keys - have fun!");
} else {
log.info("Sorry, you aren't allowed to drive the 'eagle5' winnebago!");
}
//all done - log out!
currentUser.logout();
小结
通过这个例子了解了如何在应用中使用shiro，shiro的主要设计意图，subject和securitymanager
这个应用很简单，如果不用INI而用复杂数据源（例如数据库）怎么办？
就需要接下去了解更深入的shiro架构以及配置机制。下一章
https://shiro.apache.org/architecture.html
Authentication特性
Authentication是识别认证的过程，例如你将验证一位用户是否是他们自己所描述的那位用户。
为此，用户需要提供系统可以理解和信任的某种身份证明。
Shiro框架旨在使身份验证尽可能干净和直观，同时提供丰富的功能。
-
基于Subject(客体)
在shiro中所作的几乎所有操作都基于当前用户，称为一个课题。你能简单在任何代码找到Subject。这使得它更易于让你在应用中使用和理解shiro。
-
单一方法调用
验证过程是一个简单的单一的方法调用，只需要一个方法调用是的API和你的英语代码简洁节约时间更加高效
-
丰富的报错层次
shiro提供了一个丰富的报错层次结构来提供在登录失败时的报错异常。层次结构能帮你更加简单的诊断代码bug或客户关于登录验证服务的问题。另外如果需要丰富性还能帮你创建更复杂的验证方法。
-
记住我
shiro中的标准能够在你的用户返回应用的时候记住他们。你能以最小的工作量提供更好的用户体验。
-
可插拔的数据源
shori使用可插拔的数据访问对象（data access objects,DAOs）,被称为Realms，来安全的链接数据源类似LDAP或者Active Diectory，JDBC。如果有需要你能创建自己的Realm来支持在基础Realm之外的特殊功能。
-
使用一个或多个数据源登录
使用Shiro，你能简单的验证一个用户违反一个或一些realms返回一个验证其身份的统一视图。另外你能使用shiro身份验证策略概念来定义自己的验证过程
Authorization特性
Authorization（授权） ，也被称为访问控制，是一个应用程序中确定某个资源是否有访问权限的过程。换句话来说决定谁能访问它。授权用于回答类似是否用户能编辑账户、用户是否能访问网页，是否用户能点击这个按钮之类的安全问题。这些都是决定一个用户是否有权访问的检查。
Authorization授权是任何应用程序的关键要素，但它很快就会变得非常复杂。 Shiro的目标是消除授权方面的许多复杂性，以便您可以更轻松地构建安全软件。 下面是Shiro授权功能的重点。
- 基于Subject
- 基于角色和权限的检查
- 强大而只管的权限语法
- 多种强力操作
- 强大的缓存支持
- 可插拔数据源
- 支持数据模型
原文 https://shiro.apache.org/tutorial.html