1.身份认证概念

   在 shiro 中,用户需要提供 principals (身份)和 credentials(证明)给 shiro,从而应用能 验证用户身份;

principals:身份,即主体的标识属性,可以是任何东西,如用户名、邮箱等,唯一即可。 一个主体可以有多个 principals,但只有一个 Primary principals,一般是用户名/密码/手机号。

credentials:证明/凭证,即只有主体知道的安全值,如密码/数字证书等。 最常见的 principals 和 credentials 组合就是用户名/密码了。接下来先进行一个基本的身份认证。 

另外两个相关的概念是之前提到的 Subject 及 Realm,分别是主体及验证主体的数据源。


2.认证流程

wKioL1l5YMPSHvQmAAIQpxWirr0662.png


流程如下: 

1、首先调用 Subject.login(token)进行登录,其会自动委托给 Security Manager,调用之前必 须通过 SecurityUtils. setSecurityManager()设置; 

2、SecurityManager 负责真正的身份验证逻辑;它会委托给 Authenticator 进行身份验证; 

3、Authenticator 才是真正的身份验证者,Shiro API 中核心的身份认证入口点,此处可以自 定义插入自己的实现; 

4、Authenticator 可能会委托给相应的 AuthenticationStrategy 进行多 Realm 身份验证,默认 ModularRealmAuthenticator 会调用 AuthenticationStrategy 进行多 Realm 身份验证; 

5、Authenticator 会把相应的 token 传入 Realm,从 Realm 获取身份验证信息,如果没有返 回/抛出异常表示身份验证失败了。此处可以配置多个 Realm,将按照相应的顺序及策略进 行访问。


3.realm


Realm:域,Shiro 从从 Realm 获取安全数据(如用户、角色、权限),就是说 SecurityManager 要验证用户身份,那么它需要从 Realm 获取相应的用户进行比较以确定用户身份是否合法; 也需要从 Realm 得到用户相应的角色/权限进行验证用户是否能进行操作;可以把 Realm 看 成 DataSource , 即 安全数据源。如我们之前的 ini 配置方式将使用 org.apache.shiro.realm.text.IniRealm。


org.apache.shiro.realm.Realm 接口如下:

 String getName(); //返回一个唯一的 Realm 名字 

  boolean supports(AuthenticationToken token); //判断此 Realm 是否支持此 Token 

  AuthenticationInfo getAuthenticationInfo(AuthenticationToken token)  

     throws AuthenticationException;  //根据 Token 获取认证信息 


1、自定义 Realm 实现

public class MyRealm1 implements Realm {
	@Override
	public String getName() {
		return "myrealm1";
	}

	@Override
	public boolean supports(AuthenticationToken token) {
		// 仅支持 UsernamePasswordToken 类型的 Token
		return token instanceof UsernamePasswordToken;
	}

	@Override
	public AuthenticationInfo getAuthenticationInfo(AuthenticationToken token) throws AuthenticationException {
		String username = (String) token.getPrincipal(); // 得到用户名
		String password = new String((char[]) token.getCredentials()); // 得到密码
		if (!"zhang".equals(username)) {
			throw new UnknownAccountException(); // 如果用户名错误
		}
		if (!"123".equals(password)) {
			throw new IncorrectCredentialsException(); // 如果密码错误
		}
		// 如果身份认证验证成功,返回一个 AuthenticationInfo 实现;
		return new SimpleAuthenticationInfo(username, password, getName());
	}
}


2、ini 配置文件指定自定义 Realm 实现(shiro-realm.ini) 

#声明一个 realm
myRealm1=com.github.zhangkaitao.shiro.chapter2.realm.MyRealm1
#指定 securityManager 的 realms 实现 
securityManager.realms=$myRealm1


3、多 Realm 配置 

#声明一个 realm 
myRealm1=com.github.zhangkaitao.shiro.chapter2.realm.MyRealm1
myRealm2=com.github.zhangkaitao.shiro.chapter2.realm.MyRealm2 
#指定 securityManager 的 realms 实现
securityManager.realms=$myRealm1,$myRealm2

    securityManager 会按照 realms 指定的顺序进行身份认证。此处我们使用显示指定顺序的方 式指定了 Realm 的顺序,如果删除“securityManager.realms=$myRealm1,$myRealm2”,那 么 securityManager 会按照 realm 声明的顺序进行使用(即无需设置 realms 属性,其会自动 发 现),当我们显示指定 realm 后 , 其 他 没有指定 realm 将被忽略,如 “securityManager.realms=$myRealm1”,那么 myRealm2 不会被自动设置进去。


4、Shiro 默认提供的 Realm

wKiom1l5hDOR-9keAAFKxbRMnOo104.png


    以后一般继承 AuthorizingRealm(授权)即 可 ;其 继承了 AuthenticatingRealm(即身份验证), 而且也间接继承了 CachingRealm(带有缓存实现)。

org.apache.shiro.realm.text.IniRealm:[users]部分指定用户名/密码及其角色;[roles]部分指 定角色即权限信息;

org.apache.shiro.realm.text.PropertiesRealm: user.username=password,role1,role2 指定用户 名/密码及其角色;role.role1=permission1,permission2 指定角色及权限信息; 

org.apache.shiro.realm.jdbc.JdbcRealm:通过 sql 查询相应的信息,如“select password from users where username = ?”获取用户密码,“select password, password_salt from users where username = ?”获取用户密码及盐;“select role_name from user_roles where username = ?” 获取用户角色;“select permission from roles_permissions where role_name = ?”获取角色对 应的权限信息;也可以调用相应的 api 进行自定义 sql;


5、JDBC Realm 使用

  5.1、到数据库 shiro 下建三张表:users(用户名/密码)、user_roles(用户/角色)、roles_permissions (角色/权限),具体请参照 shiro-example-chapter2/sql/shiro.sql;并添加一个用户记录,用 户名/密码为 zhang/123;

   5.2、ini 配置(shiro-jdbc-realm.ini) 

jdbcRealm=org.apache.shiro.realm.jdbc.JdbcRealm
dataSource=com.alibaba.druid.pool.DruidDataSource 
dataSource.driverClassName=com.mysql.jdbc.Driver 
dataSource.url=jdbc:mysql://localhost:3306/shiro 
dataSource.username=root 
#dataSource.password= 
jdbcRealm.dataSource=$dataSource 
securityManager.realms=$jdbcRealm


4.Authenticator 及 AuthenticationStrategy 

  SecurityManager 接口继承了 Authenticator,另外还有一个 ModularRealmAuthenticator 实现, 其委托给多个 Realm 进行验证,验证规则通过 AuthenticationStrategy 接口指定,默认提供 的实现: 

   FirstSuccessfulStrategy:只要有一个 Realm 验证成功即可,只返回第一个 Realm 身份验证 成功的认证信息,其他的忽略;

   AtLeastOneSuccessfulStrategy:只要有一个 Realm 验证成功即可,和 FirstSuccessfulStrategy 不同,返回所有 Realm 身份验证成功的认证信息;

   AllSuccessfulStrategy:所有 Realm 验证成功才算成功,且返回所有 Realm 身份验证成功的 认证信息,如果有一个失败就失败了;


   ModularRealmAuthenticator 默认使用 AtLeastOneSuccessfulStrategy 策略。


4.1 、ini 配置文件(shiro-authenticator-all-success.ini) 

#指定 securityManager 的 authenticator 实现 
authenticator=org.apache.shiro.authc.pam.ModularRealmAuthenticator 
securityManager.authenticator=$authenticator 

#指定 securityManager.authenticator 的 authenticationStrategy
allSuccessfulStrategy=org.apache.shiro.authc.pam.AllSuccessfulStrategy
securityManager.authenticator.authenticationStrategy=$allSuccessfulStrategy 

myRealm1=com.github.zhangkaitao.shiro.chapter2.realm.MyRealm1 
myRealm2=com.github.zhangkaitao.shiro.chapter2.realm.MyRealm2 
myRealm3=com.github.zhangkaitao.shiro.chapter2.realm.MyRealm3
securityManager.realms=$myRealm1,$myRealm3


4.2 自定义 AuthenticationStrategy 实现

  其API如下:

//在所有 Realm 验证之前调用 
AuthenticationInfo beforeAllAttempts( 
     Collection<? extends Realm> realms, AuthenticationToken token)  
     throws AuthenticationException; 

//在每个 Realm 之前调用
AuthenticationInfo beforeAttempt(
    Realm realm, AuthenticationToken token, AuthenticationInfo aggregate) 
    throws AuthenticationException; 

//在每个 Realm 之后调用
AuthenticationInfo afterAttempt( 
    Realm realm, AuthenticationToken token, 
    AuthenticationInfo singleRealmInfo, AuthenticationInfo aggregateInfo, Throwable t)
    throws AuthenticationException; 

//在所有 Realm 之后调用
AuthenticationInfo afterAllAttempts(
      AuthenticationToken token, AuthenticationInfo aggregate)
      throws AuthenticationException;


   因为每个 AuthenticationStrategy 实例都是无状态的,所有每次都通过接口将相应的认证信 息传入下一次流程;通过如上接口可以进行如合并/返回第一个验证成功的认证信息。


自定义实现时一般继承 org.apache.shiro.authc.pam.AbstractAuthenticationStrategy 即可。