Shiro

Shiro的三大部件

  • subject 用户
  • securityManager 管理所有用户
  • Realm 连接数据

Shiro的快速搭建

  1. 导入依赖
  2. 配置文件
  3. HelloWorld
  • 注：官方用的是commons-logging，我们用log4j

通过Shiro官方提供的快速开始，我们能获得如下：（​​shiro-main\samples\quickstart​​）

//通过Subject 获取当前的用户对象
Subject currentUser = SecurityUtils.getSubject();
//通过当前用户拿到session
Session session = currentUser.getSession();
//判断当前用户是否被认证
currentUser.isAuthenticated()
//获取当前用户的一个认证
currentUser.getPrincipal()
//获得用户是否拥有什么角色
currentUser.hasRole("schwartz")
//获得用户的一些权限
currentUser.isPermitted("lightsaber:wield")
//注销
currentUser.logout();
  • Spring Security中~都有！——只是名字变了

SpringBoot集成Shiro

  1. 导入Shiro整合依赖
  2. 编写Shiro的两个核心配置
Shiro内置的过滤器如下
/*
  anon:无需认证就可以访问
  authc:必须认证了才能访问
  user:必须拥有 记住我 才能访问（一般不用）
  perms:拥有对某个资源的权限才能访问
  role:拥有某个角色权限才能访问
*/
登录拦截功能
//登录拦截功能
Map<String, String> filterMap = new LinkedHashMap<>();
//上面代码可以写成通配符格式
filterMap.put("/user/*", "authc");
bean.setFilterChainDefinitionMap(filterMap);
//设置登录的请求：（如果没有权限，跳转到login页面）
bean.setLoginUrl("/toLogin");
Shiro实现用户认证登录
MyController.java

    @RequestMapping("/login")
    public String login(String username, String password, Model model){


        //获取当前的用户
        Subject subject = SecurityUtils.getSubject();

        //封装用户的登录数据
        UsernamePasswordToken token = new UsernamePasswordToken(username, password);

        try {
            //执行登录操作(没有异常就ok了，)
            subject.login(token);
            return "index";
        } catch (UnknownAccountException e) {   //用户名不存在
            model.addAttribute("msg", "用户名错误");
            return "login";
        }catch (IncorrectCredentialsException e){   //密码错误
            model.addAttribute("msg", "密码错误");
            return "login";
        }
    }
UserRealm.java

//认证
@Override
protected AuthenticationInfo doGetAuthenticationInfo(AuthenticationToken token) throws      AuthenticationException {
    System.out.println("执行了=>认证doGetAuthenticationInfo");

    //用户名，密码从数据库中取（这里伪造一下）
    String username = "root";
    String password = "123456";

    //这里和MyController用的一个token
    UsernamePasswordToken userToken = (UsernamePasswordToken) token;

    if(!userToken.getUsername().equals(username)){
    return null;    //抛出异常UnknownAccountException
    }

    //密码认证，shiro做
    return new SimpleAuthenticationInfo("",password, "");
}
login.html

<p th:text="${msg}" style="color: red;"></p>
<form th:action="@{/login}">
Shiro整合Mybatis
  • 搭建实验数据库
CREATE DATABASE `mybatis`;

USE `mybatis`;

DROP TABLE IF EXISTS `user`;

CREATE TABLE `user` (
`id` int(20) NOT NULL,
`name` varchar(30) DEFAULT NULL,
`pwd` varchar(30) DEFAULT NULL,
PRIMARY KEY (`id`)
) ENGINE=InnoDB DEFAULT CHARSET=utf8;

insert  into `user`(`id`,`name`,`pwd`) values (1,'狂神','123456'),(2,'张三','abcdef'),(3,'李四','987654');
  • Shiro中的MD5加密和MD5加盐加密区别
/**默认简单加密(SimpleCredentialsMatcher)，可以自己来写加密(被setCredentialsMatcher方法覆盖)
* 换成MD5加密：缺点是加密后的是固定的，不能变
*  如：a3f0bec59cebeb60553ec80bbfd5dfdf
* 换成MD5盐值加密：会在固定的加密代码后面加上姓名的英文
*  如：a3f0bec59cebeb60553ec80bbfd5dfdfusername
*/
在Shiro中将简单加密（SimpleCredentialsMatcher）换成MD5加盐加密的流程
Shiro整合thymeleaf【可以实现授权那个页面就只显示那个页面】

导入整合包