认识并使用Shiro技术

一、对Shiro的基本认知

1、Shiro是什么？

• Apache Shiro™ is a powerful and easy-to-use Java security framework that performs authentication, authorization, cryptography, and session management. 【Apache Shiro是一个强大且易用的Java安全框架，它用于认证、授权、加密、对话管理。】官方文档

咱目前主要关注如何通过Shiro实现认证、授权和对话管理。

• Spring MVC通过DispachServlet来控制请求（/xxx/yyy）路由到xxxController中的哪个方法。类似地，Apache Shiro的核心通过Filter来实现。 先将请求拦截，然后判断是否要认证（要的话，就让用户输入用户名和密码）、是否需要权限（有权限才能访问）。

2、Shiro的核心组件是？

2.1 Subject

• Subject是安全领域的抽象概念，暂且可以简单理解为当前用户。

官方文档：实际上，我们想把它称为 “User”，因为这样 “更合理”，但我们决定不这么做：太多应用程序的现有 API 已经有了自己的 User 类/框架，我们不想与它们发生冲突。【但实际上叫Subject，依然会有冲突:)】

• 服务端收到一个请求，xxxController中的对应方法会来处理。

// 当前用户，在整个Shiro框架运作的过程中，通过拿到subject就能拿到用户信息
Subject subject = SecurityUtils.getSubject();

2.2 UsernamePasswordToken

• 见名知意，封装用户的username和password。

subject.login(new UsernamePasswordToken(username, password));

2.3 Realm（重点是：AuthorizingRealm用于授权、AuthenticatingRealm用于认证）

• Shiro安全框架为了实现认证和授权，定义了2个抽象方法：

// AuthorizingRealm是授权Realm
public abstract class AuthorizingRealm extends AuthenticatingRealm implements Authorizer, Initializable, PermissionResolverAware, RolePermissionResolverAware {
	......
	protected abstract AuthorizationInfo doGetAuthorizationInfo(PrincipalCollection var1);
	......
}

// AuthenticatingRealm是认证Realm
public abstract class AuthenticatingRealm extends CachingRealm implements Initializable {
	......
	protected abstract AuthenticationInfo doGetAuthenticationInfo(AuthenticationToken var1) throws AuthenticationException;
}

• 很显然，这就需要用户去定义xxxRealm，并实现这两个抽象方法。

2.4 SecurityManager

• 将自定义的xxxRealm组件交给DefaultWebSecurityManager，从而实现认证和授权。

2.5 ShiroFilterFactoryBean（重点）

• 拦截请求，做一系列处理。例如，某请求要获取xxx.html页面，前提是先登录，那么就跳转到登录页面。

要让Shiro框架运转起来，先要定义出需要的组件，然后按要求组装起来，这就需要ShiroConfig.java。详见：5、重点：如何使用Shiro安全框架实现认证和授权？

二、使用Shiro（通过Spring Boot整合Shiro）

0、需求与思路

0.1 需求

• 假设我们的网站有4个页面，分别是index.html（首页）、main.html、manage.html、administrator.html
• 并且，我们需要对用户的访问进行限制：
  （1）用户必须登录才能访问main.html
  （2）用户必须拥有manage权限才能访问manage.html
  （3）用户必须拥有administrator角色才能访问administrator.html

0.2 思路

• 首先，用户登录时，会给服务端传递username和password信息。服务端拿到这些信息后，就要校验username和password（和当初注册时，落入db表的username、password进行比对）。这就要用到Shiro提供的认证服务。
• 认证完成后，用户顺利登录咱们的网站，接下来，他会去访问一些页面，而用户能不能访问，就要看用户具有哪些权限以及何种角色。这就要用到Shiro提供的授权服务。例如，授权manage.html页面，要求“用户必须拥有manage权限才能访问manage.html”。

开干吧！

1、通过脚手架快速创建Spring Boot项目

• 添加shiro依赖：

<dependency>
    <groupId>org.apache.shirogroupId>
    <artifactId>shiro-springartifactId>
    <version>1.7.1version>
dependency>

2、构造db表，为用户登录做准备

这里假设db表里面已经有一些用户信息了，当用户登录时，会将传入的username和password和db表里的信息进行比对。

• 利用IDEA的Database连一下本地的MySQL
  
  
• 连上以后，咱先新建一个database：CREATE DATABASE learn_shiro_mysql;
• 使用该database，并新建User表：

use learn_shiro_mysql;
CREATE TABLE User (
    id INT PRIMARY KEY,
    username VARCHAR(32),
    password VARCHAR(64),
    permission VARCHAR(32),
    role VARCHAR(32)
);

• 插入3条记录：

INSERT INTO User (id, username, password)
VALUES (1, '张飞', '123');

INSERT INTO User (id, username, password, permission)
VALUES (2, '关羽', '456', 'manage');

INSERT INTO User (id, username, password, permission, role)
VALUES (3, '刘备', '789', 'manage', 'administrato`在这里插入代码片`r');

• 查看db表：
  

• 这张表的设计是不合理的。原因在于，一个用户可能拥有多个permission，即username和permission不是一对一的关系，不适合放一张表里。
• 但本文重点在于“认识并使用Shiro技术”，所以暂且不在db表的设计上花费功夫。

3、Spring Boot整合MySQL数据库

3.1 添加依赖

<dependency>
    <groupId>mysqlgroupId>
    <artifactId>mysql-connector-javaartifactId>
    <scope>runtimescope>
dependency>


<dependency>
    <groupId>com.baomidougroupId>
    <artifactId>mybatis-plus-boot-starterartifactId>
    <version>3.5.2version>
dependency>

引入了DAO层框架：mybatis-plus

3.2 实现简单的DAO

3.2.1 配置MySQL和mybatis-plus

# 数据库配置
spring:
  datasource:
    # Loading class `com.mysql.jdbc.Driver'. This is deprecated. The new driver class is `com.mysql.cj.jdbc.Driver'.
    driver-class-name: com.mysql.cj.jdbc.Driver
    url: jdbc:mysql://localhost:3306/learn_shiro_mysql
    username: root
    password: xxx

# mybatis-plus配置
mybatis-plus:
  configuration:
    log-impl: org.apache.ibatis.logging.stdout.StdOutImpl

learn_shiro_mysql是上面建好的database。

3.2.2 entity

与User表一一对应

@Data
@TableName("User")
public class User {
    private Integer id;
    private String username;
    private String password;
    private String permission;
    private String role;
}

3.2.3 mapper

通过mybatis-plus进行增删改查

/**
 * 不添加@Repository注解，当通过@Autowired注入时：

 * 

 *    @Autowired 

 *    private UserMapper userMapper; 

 * 
 * IDEA会给userMapper打上红色下划线，提示：Could not autowire. No beans of 'UserMapper' type found. 

 * 这是因为UserMapper是接口，不能被实例化。但实际上，运行时会生成一个代理对象，代理对象会继承UserMapper接口，所以可以被@Autowired注入。

 * 为了消除红色下划线，所以添加@Repository注解。
 * @Autowired
 * private UserMapper userMapper;
 */

@Repository
public interface UserMapper extends BaseMapper<User> {

}

3.2.4 单测

@SpringBootTest
public class UserMapperTest {
    @Autowired
    private UserMapper userMapper;

    @Test
    public void testSelectAllUser() {
        userMapper.selectList(null).forEach(System.out::println);
    }

}

User(id=1, username=张飞, password=123, permission=null, role=null)
User(id=2, username=关羽, password=456, permission=manage, role=null)
User(id=3, username=刘备, password=789, permission=manage, role=administrator)

4、实现Service层

• 接口

public interface IUserService {
    User selectByUsername(String username);
}

• 实现类

@Service
public class UserServiceImpl implements IUserService {
    @Autowired
    private UserMapper userMapper;

    @Override
    public @Nullable User selectByUsername(String username) {
        QueryWrapper<User> queryWrapper = new QueryWrapper<>();
        queryWrapper.eq("username", username);
        return userMapper.selectOne(queryWrapper);
    }
}

• 单测

@SpringBootTest
public class UserServiceImplTest {
    @Autowired
    private IUserService userService;

    @Test
    public void testSelectByUsername() {
        String username = "刘备";
        System.out.println(userService.selectByUsername(username));
    }
}

User(id=3, username=刘备, password=789, permission=manage, role=administrator)

5、实现Controller层

5.1 用户输入127.0.0.1:8080/main，服务端返回main.html

5.1.1 实现

@Controller
public class UserController {
    @GetMapping("/{url}")
    public String redirect(@PathVariable String url) {
        // 例如，如果url的值为"main"，就返回"main"视图
        return url;
    }
}

• 在Spring MVC中，如果一个xxxController方法返回一个字符串，那么这个字符串通常被解析为一个视图名（View Name），Spring MVC会基于这个视图名来选择相应的视图（例如一个JSP页面或者一个HTML页面）进行渲染。
• 在Spring Boot项目的"src/main/resources/templates"目录下创建一个"main.html"文件。这个文件就是要返回的Thymeleaf模板。
• 当访问"/main"时，Spring MVC就会找到并渲染名为"main"的Thymeleaf模板文件（即"main.html"），并用它来渲染响应。

5.1.2 效果

• 服务端有异常：org.thymeleaf.exceptions.TemplateInputException: Error resolving template [favicon.ico], template might not exist or might not be accessible by any of the configured Template Resolvers
• 解决办法：

DOCTYPE html>
<html lang="en">
<head>
    <meta charset="UTF-8">
    <title>Titletitle>
    <link rel="shortcut icon" href="../resources/favicon.ico" th:href="@{/static/favicon.ico}"/>
head>
<body>
<h1>I am main.html !h1>
body>
html>

如上所述，补上
参考资料

5.2 同理，编写剩余的html

• manage.html

DOCTYPE html>
<html lang="en">
<head>
    <meta charset="UTF-8">
    <title>Titletitle>
    <link rel="shortcut icon" href="../resources/favicon.ico" th:href="@{/static/favicon.ico}"/>
head>
<body>
    <h1>I am manage.html !h1>
body>
html>

• administrator.html

DOCTYPE html>
<html lang="en">
<head>
    <meta charset="UTF-8">
    <title>Titletitle>
    <link rel="shortcut icon" href="../resources/favicon.ico" th:href="@{/static/favicon.ico}"/>
head>
<body>
    <h1>I am administrator.html !h1>
body>
html>

• index.html

DOCTYPE html>
<html lang="en">
<head>
    <meta charset="UTF-8">
    <title>Titletitle>
    <link rel="shortcut icon" href="../resources/favicon.ico" th:href="@{/static/favicon.ico}"/>
head>
<body>
    <h1>I am index.html !h1>
    <a href="/main">maina> | <a href="/manage">managea> | <a href="/administrator">administratora>

body>
html>

每个html中都要补上，着实很离谱。

// 其实还可以这么做：
@GetMapping("favicon.ico")
@ResponseBody
void favicon() {
    // 方法体为空即可
}

当然了，正常情况下， 是会提供resources/favicon.ico。所以，不如去网上找一个favicon.ico。

5、重点：如何使用Shiro安全框架实现认证和授权？

目前，用户没有登录，便可以访问上述所有html，这显然是不安全的。因此，我们要使用Shiro技术来认证和授权。

5.1 思路与实现

• 我理解，任何框架的使用思路都是，主流程交给框架，配置交给开发者。

5.1.1 定义xxxRealm

• Shiro安全框架为了实现认证和授权，定义了2个抽象方法：

// AuthorizingRealm是授权Realm
public abstract class AuthorizingRealm extends AuthenticatingRealm implements Authorizer, Initializable, PermissionResolverAware, RolePermissionResolverAware {
	......
	protected abstract AuthorizationInfo doGetAuthorizationInfo(PrincipalCollection var1);
	......
}

// AuthenticatingRealm是认证Realm
public abstract class AuthenticatingRealm extends CachingRealm implements Initializable {
	......
	protected abstract AuthenticationInfo doGetAuthenticationInfo(AuthenticationToken var1) throws AuthenticationException;
}

• 很显然，这就需要用户去定义xxxRealm，并实现这两个抽象方法。

public class UserRealm extends AuthorizingRealm {
	/**
     * 授权
     * @param principalCollection
     * @return
     */
    @Override
    protected AuthorizationInfo doGetAuthorizationInfo(PrincipalCollection principalCollection) {
    	// 暂时 return null;
		return null;
    }

	/**
     * 认证，即校验用户的用户名和密码
     * @param authenticationToken
     * @return
     * @throws AuthenticationException
     */
    @Override
    protected AuthenticationInfo doGetAuthenticationInfo(AuthenticationToken authenticationToken) throws AuthenticationException {
    	// 暂时 return null;
		return null;
    }
}

• 定义好了UserRealm，Shiro怎么感知到呢？–> 当然是配置UserRealm啊，有Spring的帮助下，我们靠ShiroConfig来配置。

5.1.2 定义ShiroConfig

@Configuration
public class ShiroConfig {

    @Bean
    public UserRealm userRealm() {
        return new UserRealm();
    }

    @Bean
    public DefaultWebSecurityManager defaultWebSecurityManager(@Qualifier("userRealm") UserRealm userRealm) {
        DefaultWebSecurityManager defaultWebSecurityManager = new DefaultWebSecurityManager();
        defaultWebSecurityManager.setRealm(userRealm);
        return defaultWebSecurityManager;
    }

    @Bean
    public ShiroFilterFactoryBean shiroFilterFactoryBean(@Qualifier("defaultWebSecurityManager") DefaultWebSecurityManager defaultWebSecurityManager) {
        ShiroFilterFactoryBean shiroFilterFactoryBean = new ShiroFilterFactoryBean();
        shiroFilterFactoryBean.setSecurityManager(defaultWebSecurityManager);

        return shiroFilterFactoryBean;
    }
}

5.1.2.1 ShiroFilterFactoryBean （设置过滤器）

• 满足需求的代码：

@Bean
public ShiroFilterFactoryBean shiroFilterFactoryBean(@Qualifier("defaultWebSecurityManager") DefaultWebSecurityManager defaultWebSecurityManager) {
    ShiroFilterFactoryBean shiroFilterFactoryBean = new ShiroFilterFactoryBean();
    shiroFilterFactoryBean.setSecurityManager(defaultWebSecurityManager);
    
    // 设置过滤器
    Map<String, String> filterChainDefinitionMap = new HashMap<>();
    filterChainDefinitionMap.put("/main", "authc");
    filterChainDefinitionMap.put("/manage", "perms[manage]");
    filterChainDefinitionMap.put("/administrator", "role[administrator]");
    shiroFilterFactoryBean.setFilterChainDefinitionMap(filterChainDefinitionMap);
    
    return shiroFilterFactoryBean;
}

• 理论补充：
  （1）认证过滤器：
  1）anon: 无需认证
  2）authc: 必须认证
  3）authcBasic: 需要通过HTTP Basic认证
  4）user: 只要曾经被Shiro记录即可，比如：记住我

  （2）授权过滤器
  1）perms: 必须拥有某个权限才能访问
  2）roles: 必须拥有某个角色才能访问
  3）port: 请求的端口必须是指定值才可以
  4）rest: 请求必须基于RESTful (POST、PUT、GET、DELETE)
  5）ssl: 必须是安全的URL请求（协议HTTPS）

5.1.2.2 过滤效果

不登录，就没法看有限制的页面了！

5.1.2.2 不想用官方的login.jsp来登录，怎么办？

• 设置登录页面

@Bean
public ShiroFilterFactoryBean shiroFilterFactoryBean(@Qualifier("defaultWebSecurityManager") DefaultWebSecurityManager defaultWebSecurityManager) {
    ......
    
    // 设置登录页面
    shiroFilterFactoryBean.setLoginUrl("/login");
    
    ......
}

• 提供login.html

DOCTYPE html>
<html lang="en">
<head>
    <meta charset="UTF-8">
    <title>Titletitle>
head>
<body>
  <form action="/login" method="post">
    <input type="text" name="username" placeholder="username">
    <input type="password" name="password" placeholder="password">
    <input type="submit" value="login">
  form>
body>
html>

• 效果：
  

5.1.3 登录（认证）

5.1.3.1 实现

• Controller层

@PostMapping("/login")
public String login(String username, String password, Model model) {
    // 将用户登录的认证过程交给Shiro
    Subject subject = SecurityUtils.getSubject();
    try {
        subject.login(new UsernamePasswordToken(username, password));
        return "index";
    } catch (UnknownAccountException | IncorrectCredentialsException e) {
        // 重新返回登录页面
        model.addAttribute("error", "用户名不存在 或者 密码错误");
        return "login";
    } catch (Exception e) {
        // 重新返回登录页面
        model.addAttribute("error", "登录出错");
        return "login";
    }
}

使用Model对象将错误信息传递给前端显示。Model是Spring MVC中一个非常重要的对象，它封装了视图显示所需要的数据，在视图中可以很方便的取出Model中的数据。

• 完善“5.1.1 定义xxxRealm”中的UserRealm类的doGetAuthenticationInfo方法

@Override
    protected AuthenticationInfo doGetAuthenticationInfo(AuthenticationToken authenticationToken) throws AuthenticationException {
        if (authenticationToken instanceof UsernamePasswordToken) {
            UsernamePasswordToken upToken = (UsernamePasswordToken) authenticationToken;
            User user = userService.selectByUsername(upToken.getUsername());
            if (user != null) {
                return new SimpleAuthenticationInfo(user, user.getPassword(), getName());
            }
        }
        return null;
    }

当执行 subject.login(new UsernamePasswordToken(username, password));时，会执行到doGetAuthenticationInfo方法中。

根据用户传入的username去查User表，
（1）没查到，返回null
（2）查到了，但用户传入的密码和User表中的密码不匹配，抛异常
（3）查到了，密码也匹配上了，登录成功

5.1.3.1 效果

• 登录失败
  
• 登录成功后，点击“manage”
  

接下来，说明还未授权，接下来就要准备授权了。

• 这里先做一下优化，当未授权时，返回一个用户易读的信息。

（1）ShiroConfig.java

@Bean
public ShiroFilterFactoryBean shiroFilterFactoryBean(@Qualifier("defaultWebSecurityManager") DefaultWebSecurityManager defaultWebSecurityManager) {
    ......
    
    // 设置未授权页面
    shiroFilterFactoryBean.setUnauthorizedUrl("/unauthorized");
    return shiroFilterFactoryBean;
}

（2）UserController

@GetMapping("/unauthorized")
@ResponseBody
public String unauthorized() {
    return "您没有权限访问该页面！";
}

（3）效果

5.1.4 授权

• 实现：

/**
 * 授权
 * @param principalCollection
 * @return
 */
@Override
protected AuthorizationInfo doGetAuthorizationInfo(PrincipalCollection principalCollection) {
    Subject currentUser = SecurityUtils.getSubject();
    Object tmpUser = currentUser.getPrincipal();
    if (tmpUser instanceof User) {
        User user = (User) tmpUser;

        // 角色
        Set<String> roles = new HashSet<>();
        roles.add(user.getRole());

        // 权限
        Set<String> perms = new HashSet<>();
        perms.add(user.getPermission());

        SimpleAuthorizationInfo saInfo = new SimpleAuthorizationInfo();
        saInfo.setRoles(roles);
        saInfo.setStringPermissions(perms);

        return saInfo;
    } else {
        return null;
    }
}

5.2 补充：登出

（1）登录时，我需要知道当前页面是谁在访问，此需求可以简化为：登录后，显示“欢迎xxx回家~”
（2）然后，要提供登出的按钮。

5.2.1 修改index.html

DOCTYPE html>
<html lang="en" xmlns:th="http://www.thymeleaf.org">
<head>
    <meta charset="UTF-8">
    <title>Titletitle>
head>
<body>
    <h1>I am index.html !h1>
    <div th:if="${session.user != null}">
        <p>Welcome, <span th:text="${session.user.username}">span>!p>
    div>
    <a href="/main">maina> | <a href="/manage">managea> | <a href="/administrator">administratora>
    <div>
        <a href="/logout">logouta>
    div>
body>
html>

IDEA会在user下标注黄色波浪线，看着真难受啊~

5.2.2 修改UserContoller.java

@PostMapping("/login")
public String login(String username, String password, Model model) {
    // 将用户登录的认证过程交给Shiro
    Subject subject = SecurityUtils.getSubject();
    try {
        subject.login(new UsernamePasswordToken(username, password));
        subject.getSession().setAttribute("user", subject.getPrincipal());
        return "index";
    } catch (UnknownAccountException | IncorrectCredentialsException e) {
        ...
    } catch (Exception e) {
        ...
    }
}

@GetMapping("/logout")
public String logout() {
    // 退出登录
    SecurityUtils.getSubject().logout();
    return "login";
}

（1）当执行subject.login(new UsernamePasswordToken(username, password));时，会执行UserRealm类的doGetAuthenticationInfo方法，如果登录成功，那么return new SimpleAuthenticationInfo(user, user.getPassword(), getName());此时，user赋予了principal。
（2）因此subject.getPrincipal()取出的便是user。

5.2.3 效果

6、Shiro整合Thymeleaf

刘备拥有main.html、manage.html、administrator.html的权限，所以可以看到3个main、manage、administrator的链接，那么对于没有权限的人，咱希望他不要看到对应的链接。

6.1 pom.xml中引入依赖

<dependency>
    <groupId>com.github.theborakompanionigroupId>
    <artifactId>thymeleaf-extras-shiroartifactId>
    <version>2.1.0version>
dependency>

6.2 提供ShiroDialect组件

@Bean
public ShiroDialect shiroDialect() {
    return new ShiroDialect();
}

6.3 修改index.html

DOCTYPE html>
<html lang="en" xmlns:th="http://www.thymeleaf.org" xmlns:shiro="http://www.thymeleaf.org/thymeleaf-extras-shiro">
<head>
    <meta charset="UTF-8">
    <title>Titletitle>
head>
<body>
    <h1>I am index.html !h1>
    <div th:if="${session.user != null}">
        <p>Welcome, <span th:text="${session.user.username}">span>! <a href="/logout">logouta>p>
    div>
    <a href="/main">maina>
    <div shiro:hasPermission="manage">
        <a href="/manage">managea>
    div>
    <div shiro:hasRole="administrator">
        <a href="/administrator">administratora>
    div>
body>
html>

6.4 效果

三、学习资料

讲得真不错~ 感谢老师~