<dependency>
<groupId>org.apache.shiro</groupId>
<artifactId>shiro-spring</artifactId>
<version>1.3.2</version>
</dependency>
一切從簡,用戶 user 表,以及角色 role 表
黃巖網(wǎng)站建設(shè)公司創(chuàng)新互聯(lián)建站,黃巖網(wǎng)站設(shè)計(jì)制作,有大型網(wǎng)站制作公司豐富經(jīng)驗(yàn)。已為黃巖上千余家提供企業(yè)網(wǎng)站建設(shè)服務(wù)。企業(yè)網(wǎng)站搭建\成都外貿(mào)網(wǎng)站建設(shè)要多少錢,請找那個(gè)售后服務(wù)好的黃巖做網(wǎng)站的公司定做!
@Configuration
public class ShiroConfig {
@Bean
public ShiroFilterFactoryBean shirFilter(SecurityManager securityManager) {
ShiroFilterFactoryBean shiroFilterFactoryBean = new ShiroFilterFactoryBean();
// 必須設(shè)置 SecurityManager
shiroFilterFactoryBean.setSecurityManager(securityManager);
// setLoginUrl 如果不設(shè)置值,默認(rèn)會自動(dòng)尋找Web工程根目錄下的"/login.jsp"頁面 或 "/login" 映射
shiroFilterFactoryBean.setLoginUrl("/notLogin");
// 設(shè)置無權(quán)限時(shí)跳轉(zhuǎn)的 url;
shiroFilterFactoryBean.setUnauthorizedUrl("/notRole");
// 設(shè)置攔截器
Map<String, String> filterChainDefinitionMap = new LinkedHashMap<>();
//游客,開發(fā)權(quán)限
filterChainDefinitionMap.put("/guest/**", "anon");
//用戶,需要角色權(quán)限 “user”
filterChainDefinitionMap.put("/user/**", "roles[user]");
//管理員,需要角色權(quán)限 “admin”
filterChainDefinitionMap.put("/admin/**", "roles[admin]");
//開放登陸接口
filterChainDefinitionMap.put("/login", "anon");
//其余接口一律攔截
//主要這行代碼必須放在所有權(quán)限設(shè)置的最后,不然會導(dǎo)致所有 url 都被攔截
filterChainDefinitionMap.put("/**", "authc");
shiroFilterFactoryBean.setFilterChainDefinitionMap(filterChainDefinitionMap);
System.out.println("Shiro攔截器工廠類注入成功");
return shiroFilterFactoryBean;
}
/**
* 注入 securityManager
*/
@Bean
public SecurityManager securityManager() {
DefaultWebSecurityManager securityManager = new DefaultWebSecurityManager();
// 設(shè)置realm.
securityManager.setRealm(customRealm());
return securityManager;
}
/**
* 自定義身份認(rèn)證 realm;
* <p>
* 必須寫這個(gè)類,并加上 @Bean 注解,目的是注入 CustomRealm,
* 否則會影響 CustomRealm類 中其他類的依賴注入
*/
@Bean
public CustomRealm customRealm() {
return new CustomRealm();
}
}
注意:里面的 SecurityManager 類導(dǎo)入的應(yīng)該是 import org.apache.shiro.mgt.SecurityManager;
但是,如果你是復(fù)制代碼過來的話,會默認(rèn)導(dǎo)入 java.lang.SecurityManager
這里也稍稍有點(diǎn)坑,其他的類的話,也是都屬于 shiro 包里面的類
shirFilter 方法中主要是設(shè)置了一些重要的跳轉(zhuǎn) url,比如未登陸時(shí),無權(quán)限時(shí)的跳轉(zhuǎn);以及設(shè)置了各類 url 的權(quán)限攔截,比如 /user 開始的 url 需要 user 權(quán)限,/admin 開始的 url 需要 admin 權(quán)限等
當(dāng)運(yùn)行一個(gè)Web應(yīng)用程序時(shí),Shiro將會創(chuàng)建一些有用的默認(rèn) Filter 實(shí)例,并自動(dòng)地將它們置為可用,而這些默認(rèn)的 Filter 實(shí)例是被 DefaultFilter 枚舉類定義的,當(dāng)然我們也可以自定義 Filter 實(shí)例,這些在以后的文章中會講到
Filter | 解釋 |
---|---|
anon | 無參,開放權(quán)限,可以理解為匿名用戶或游客 |
authc | 無參,需要認(rèn)證 |
logout | 無參,注銷,執(zhí)行后會直接跳轉(zhuǎn)到shiroFilterFactoryBean.setLoginUrl(); 設(shè)置的 url |
authcBasic | 無參,表示 httpBasic 認(rèn)證 |
user | 無參,表示必須存在用戶,當(dāng)?shù)侨氩僮鲿r(shí)不做檢查 |
ssl | 無參,表示安全的URL請求,協(xié)議為 https |
perms[user] | 參數(shù)可寫多個(gè),表示需要某個(gè)或某些權(quán)限才能通過,多個(gè)參數(shù)時(shí)寫 perms["user, admin"],當(dāng)有多個(gè)參數(shù)時(shí)必須每個(gè)參數(shù)都通過才算通過 |
roles[admin] | 參數(shù)可寫多個(gè),表示是某個(gè)或某些角色才能通過,多個(gè)參數(shù)時(shí)寫 roles["admin,user"],當(dāng)有多個(gè)參數(shù)時(shí)必須每個(gè)參數(shù)都通過才算通過 |
rest[user] | 根據(jù)請求的方法,相當(dāng)于 perms[user:method],其中 method 為 post,get,delete 等 |
port[8081] | 當(dāng)請求的URL端口不是8081時(shí),跳轉(zhuǎn)到schemal://serverName:8081?queryString 其中 schmal 是協(xié)議 http 或 https 等等,serverName 是你訪問的 Host,8081 是 Port 端口,queryString 是你訪問的 URL 里的 ? 后面的參數(shù) |
常用的主要就是 anon,authc,user,roles,perms 等
注意:anon, authc, authcBasic, user 是第一組認(rèn)證過濾器,perms, port, rest, roles, ssl 是第二組授權(quán)過濾器,要通過授權(quán)過濾器,就先要完成登陸認(rèn)證操作(即先要完成認(rèn)證才能前去尋找授權(quán)) 才能走第二組授權(quán)器(例如訪問需要 roles 權(quán)限的 url,如果還沒有登陸的話,會直接跳轉(zhuǎn)到 shiroFilterFactoryBean.setLoginUrl();
設(shè)置的 url )
我們首先要繼承 AuthorizingRealm 類來自定義我們自己的 realm 以進(jìn)行我們自定義的身份,權(quán)限認(rèn)證操作。
記得要 Override 重寫 doGetAuthenticationInfo 和 doGetAuthorizationInfo 兩個(gè)方法(兩個(gè)方法名很相似,不要搞錯(cuò))
public class CustomRealm extends AuthorizingRealm {
private UserMapper userMapper;
@Autowired
private void setUserMapper(UserMapper userMapper) {
this.userMapper = userMapper;
}
/**
* 獲取身份驗(yàn)證信息
* Shiro中,最終是通過 Realm 來獲取應(yīng)用程序中的用戶、角色及權(quán)限信息的。
*
* @param authenticationToken 用戶身份信息 token
* @return 返回封裝了用戶信息的 AuthenticationInfo 實(shí)例
*/
@Override
protected AuthenticationInfo doGetAuthenticationInfo(AuthenticationToken authenticationToken) throws AuthenticationException {
System.out.println("————身份認(rèn)證方法————");
UsernamePasswordToken token = (UsernamePasswordToken) authenticationToken;
// 從數(shù)據(jù)庫獲取對應(yīng)用戶名密碼的用戶
String password = userMapper.getPassword(token.getUsername());
if (null == password) {
throw new AccountException("用戶名不正確");
} else if (!password.equals(new String((char[]) token.getCredentials()))) {
throw new AccountException("密碼不正確");
}
return new SimpleAuthenticationInfo(token.getPrincipal(), password, getName());
}
/**
* 獲取授權(quán)信息
*
* @param principalCollection
* @return
*/
@Override
protected AuthorizationInfo doGetAuthorizationInfo(PrincipalCollection principalCollection) {
System.out.println("————權(quán)限認(rèn)證————");
String username = (String) SecurityUtils.getSubject().getPrincipal();
SimpleAuthorizationInfo info = new SimpleAuthorizationInfo();
//獲得該用戶角色
String role = userMapper.getRole(username);
Set<String> set = new HashSet<>();
//需要將 role 封裝到 Set 作為 info.setRoles() 的參數(shù)
set.add(role);
//設(shè)置該用戶擁有的角色
info.setRoles(set);
return info;
}
}
重寫的兩個(gè)方法分別是實(shí)現(xiàn)身份認(rèn)證以及權(quán)限認(rèn)證,shiro 中有個(gè)作登陸操作的 Subject.login()
方法,當(dāng)我們把封裝了用戶名,密碼的 token 作為參數(shù)傳入,便會跑進(jìn)這兩個(gè)方法里面(不一定兩個(gè)方法都會進(jìn)入)
其中 doGetAuthorizationInfo 方法只有在需要權(quán)限認(rèn)證時(shí)才會進(jìn)去,比如前面配置類中配置了 filterChainDefinitionMap.put("/admin/**", "roles[admin]");
的管理員角色,這時(shí)進(jìn)入 /admin 時(shí)就會進(jìn)入 doGetAuthorizationInfo 方法來檢查權(quán)限;而 doGetAuthenticationInfo 方法則是需要身份認(rèn)證時(shí)(比如前面的 Subject.login()
方法)才會進(jìn)入
再說下 UsernamePasswordToken 類,我們可以從該對象拿到登陸時(shí)的用戶名和密碼(登陸時(shí)會使用 new UsernamePasswordToken(username, password);
),而 get 用戶名或密碼有以下幾個(gè)方法
token.getUsername() //獲得用戶名 String
token.getPrincipal() //獲得用戶名 Object
token.getPassword() //獲得密碼 char[]
token.getCredentials() //獲得密碼 Object
注意:有很多人會發(fā)現(xiàn),UserMapper 等類,接口無法通過 @Autowired 注入進(jìn)來,跑程序的時(shí)候會報(bào) NullPointerException,網(wǎng)上說了很多諸如是 Spring 加載順序等原因,但其實(shí)有一個(gè)很重要的地方要大家注意,CustomRealm 這個(gè)類是在 shiro 配置類的 securityManager.setRealm()
方法中設(shè)置進(jìn)去的,而很多人直接寫securityManager.setRealm(new CustomRealm());
,這樣是不行的,必須要使用 @Bean 注入 MyRealm,不能直接 new 對象:
@Bean
public SecurityManager securityManager() {
DefaultWebSecurityManager securityManager = new DefaultWebSecurityManager();
// 設(shè)置realm.
securityManager.setRealm(customRealm());
return securityManager;
}
@Bean
public CustomRealm customRealm() {
return new CustomRealm();
}
道理也很簡單,和 Controller 中調(diào)用 Service 一樣,都是 SpringBean,不能自己 new
當(dāng)然,同樣的道理也可以這樣寫:
@Bean
public SecurityManager securityManager(CustomRealm customRealm) {
DefaultWebSecurityManager securityManager = new DefaultWebSecurityManager();
// 設(shè)置realm.
securityManager.setRealm(customRealm);
return securityManager;
}
然后只要在 CustomRealm 類加上個(gè)類似 @Component 的注解即可
本文的功能全部以接口返回 json 數(shù)據(jù)的方式實(shí)現(xiàn)
游客
@RestController
@RequestMapping("/guest")
public class GuestController{
@Autowired
private final ResultMap resultMap;
@RequestMapping(value = "/enter", method = RequestMethod.GET)
public ResultMap login() {
return resultMap.success().message("歡迎進(jìn)入,您的身份是游客");
}
@RequestMapping(value = "/getMessage", method = RequestMethod.GET)
public ResultMap submitLogin() {
return resultMap.success().message("您擁有獲得該接口的信息的權(quán)限!");
}
}
普通登陸用戶
@RestController
@RequestMapping("/user")
public class UserController{
@Autowired
private final ResultMap resultMap;
@RequestMapping(value = "/getMessage", method = RequestMethod.GET)
public ResultMap getMessage() {
return resultMap.success().message("您擁有用戶權(quán)限,可以獲得該接口的信息!");
}
}
管理員
@RestController
@RequestMapping("/admin")
public class AdminController {
@Autowired
private final ResultMap resultMap;
@RequestMapping(value = "/getMessage", method = RequestMethod.GET)
public ResultMap getMessage() {
return resultMap.success().message("您擁有管理員權(quán)限,可以獲得該接口的信息!");
}
}
突然注意到 CustomRealm 類那里拋出了 AccountException 異常,現(xiàn)在建個(gè)類進(jìn)行異常捕獲
@RestControllerAdvice
public class ExceptionController {
private final ResultMap resultMap;
@Autowired
public ExceptionController(ResultMap resultMap) {
this.resultMap = resultMap;
}
// 捕捉 CustomRealm 拋出的異常
@ExceptionHandler(AccountException.class)
public ResultMap handleShiroException(Exception ex) {
return resultMap.fail().message(ex.getMessage());
}
}
還有進(jìn)行登陸等處理的 LoginController
@RestController
public class LoginController {
@Autowired
private ResultMap resultMap;
private UserMapper userMapper;
@RequestMapping(value = "/notLogin", method = RequestMethod.GET)
public ResultMap notLogin() {
return resultMap.success().message("您尚未登陸!");
}
@RequestMapping(value = "/notRole", method = RequestMethod.GET)
public ResultMap notRole() {
return resultMap.success().message("您沒有權(quán)限!");
}
@RequestMapping(value = "/logout", method = RequestMethod.GET)
public ResultMap logout() {
Subject subject = SecurityUtils.getSubject();
//注銷
subject.logout();
return resultMap.success().message("成功注銷!");
}
/**
* 登陸
*
* @param username 用戶名
* @param password 密碼
*/
@RequestMapping(value = "/login", method = RequestMethod.POST)
public ResultMap login(String username, String password) {
// 從SecurityUtils里邊創(chuàng)建一個(gè) subject
Subject subject = SecurityUtils.getSubject();
// 在認(rèn)證提交前準(zhǔn)備 token(令牌)
UsernamePasswordToken token = new UsernamePasswordToken(username, password);
// 執(zhí)行認(rèn)證登陸
subject.login(token);
//根據(jù)權(quán)限,指定返回?cái)?shù)據(jù)
String role = userMapper.getRole(username);
if ("user".equals(role)) {
return resultMap.success().message("歡迎登陸");
}
if ("admin".equals(role)) {
return resultMap.success().message("歡迎來到管理員頁面");
}
return resultMap.fail().message("權(quán)限錯(cuò)誤!");
}
}
本文題目:springBoot整合shiro
鏈接URL:http://muchs.cn/article46/ijoehg.html
成都網(wǎng)站建設(shè)公司_創(chuàng)新互聯(lián),為您提供網(wǎng)站內(nèi)鏈、云服務(wù)器、移動(dòng)網(wǎng)站建設(shè)、服務(wù)器托管、網(wǎng)站導(dǎo)航、
聲明:本網(wǎng)站發(fā)布的內(nèi)容(圖片、視頻和文字)以用戶投稿、用戶轉(zhuǎn)載內(nèi)容為主,如果涉及侵權(quán)請盡快告知,我們將會在第一時(shí)間刪除。文章觀點(diǎn)不代表本網(wǎng)站立場,如需處理請聯(lián)系客服。電話:028-86922220;郵箱:631063699@qq.com。內(nèi)容未經(jīng)允許不得轉(zhuǎn)載,或轉(zhuǎn)載時(shí)需注明來源: 創(chuàng)新互聯(lián)