shiro学习记录(二)

1 在项目中应用shiro框架进行认证

第一步：引入shiro框架相关的jar

<!-- 引入shiro框架的依赖 -->
        <dependency>
            <groupId>org.apache.shiro</groupId>
            <artifactId>shiro-all</artifactId>
            <version>1.2.2</version>
        </dependency>

第二步：在web.xml中配置spring框架提供的用于整合shiro框架的过滤器(因为是ssh框架，一定要放在structs过滤器前面)

<!-- 配置spring框架提供的用于整合shiro框架的过滤器 -->
  <filter>
      <filter-name>shrioFilter</filter-name>
      <filter-class>org.springframework.web.filter.DelegatingFilterProxy</filter-class>
  </filter>
  <filter-mapping>
      <filter-name>shrioFilter</filter-name>
      <url-pattern>/*</url-pattern>
  </filter-mapping>

 启动tomcat服务器，抛出异常：spring工厂中不存在一个名称为“shiroFilter”的bean对象

第三步：在spring配置文件中配置bean，id为shiroFilter

<!-- 配置shiro框架过滤器工厂对象 -->
    <bean id="shiroFilter" class="org.apache.shiro.spring.web.ShiroFilterFactoryBean">
        <!-- 注入安全管理器對象 -->
        <property name="securityManager" ref="securityManager" />
        <property name="loginUrl" value="/login.jsp" />
        <property name="successUrl" value="/index.jsp" />
        <property name="unauthorizedUrl" value="/unauthorized.jsp" />
        <!-- 注入url拦截规则-->
        <property name="filterChainDefinitions">
            <value>
                /css/** = anon<!-- 匿名，不登录 -->
                /js/** = anon
                /image/** = anon
                /validatecode.jsp* = anon
                /login.jsp = anon
                /userAction_login.action = anon
                /page_base_staff.action = perms["staff-list"]<!-- perms过滤器,可以判断是否存在逻辑staff-list -->
                /* = authc<!-- 过滤器别名,判断当前用户是否认证 -->
            </value>
        </property>
    </bean>

框架提供的过滤器：

 

第四步：配置安全管理器

<!-- 注册安全管理器对象 -->
    <bean id="securityManager" class="org.apache.shiro.web.mgt.DefaultWebSecurityManager" />
    

第五步：修改UserAction中的login方法，使用shiro提供的方式进行认证操作

/**
     * 用户登录,使用shiro框架认证登录
     */
    public String login() {
        //从session中获取验证码
        String validateCode = (String) ServletActionContext.getRequest().getSession().getAttribute("key");
        //校验验证码是否输入正确
        if (StringUtils.isNotBlank(checkCode) && checkCode.equals(validateCode)) {
            //使用shiro框架提供的方法进行认证操作
            Subject subject = SecurityUtils.getSubject();//获取当前用户对象，状态为"未认证"
            AuthenticationToken token = new UsernamePasswordToken(model.getUserName(),MD5Utils.md5(model.getPassWord()));//创建用户名密码令牌对象
            try{
                subject.login(token);
            } catch(Exception e) {
                e.printStackTrace();
                return LOGIN;
            }
            User user = (User) subject.getPrincipal();
            ServletActionContext.getRequest().getSession().setAttribute("loginUser", user);
            return HOME;
        } else {
            //输入验证码错误,设置提示信息,跳转到登录页面
            this.addActionError("输入验证码错误！");
            return LOGIN;
        }
    }

第六步：自定义realm，并注入给安全管理器

public class BOSRealm extends AuthorizingRealm {
    @Autowired
    private IUserDao userDao;
    
    //授权方法
    @Override
    protected AuthorizationInfo doGetAuthorizationInfo(PrincipalCollection principals) {

        return null;
    }

    //认证方法
    @Override
    protected AuthenticationInfo doGetAuthenticationInfo(AuthenticationToken token) throws AuthenticationException {
        System.out.println("自定义的realm中认证方法执行了。。。。");

        UsernamePasswordToken passwordToken = (UsernamePasswordToken) token;
        //获取页面输入的用户名
        String username = passwordToken.getUsername();
        //根据用户名查询数据库中的密码
        User user = userDao.findUserByUserName(username);
        if (user == null) {
            //页面输入用户名不存在
            return null;
        }
        //简单认证信息对象
        AuthenticationInfo info = new SimpleAuthenticationInfo(user, user.getPassWord(), this.getName());
        //框架负责比对数据库中的密码和页面输入的密码是否一致
        return info;
    }

}

 2.在realm中实现授权

 在BOSRealm中实现授权

//授权方法
    @Override
    protected AuthorizationInfo doGetAuthorizationInfo(PrincipalCollection principals) {
        SimpleAuthorizationInfo info = new SimpleAuthorizationInfo();
        //为用户授权
        info.addStringPermission("staff-list");
        
        //TODO 后期需要修改为登录用户查询数据库，获取实际对应的权限
        return info;
    }

 3.使用shiro的方法注解方式权限控制

第一步: 在spring配置文件中开启shiro注解支持

<!-- 开启shiro注解支持 -->
    <bean id="defaultAdvisorAutoProxyCreator" class="org.springframework.aop.framework.autoproxy.DefaultAdvisorAutoProxyCreator">
        <!-- 必须使用cglib方式为action对象创建代理对象 -->
        <property name="proxyTargetClass" value="true" />
    </bean>
    
    <!-- 配置shiro框架提供的切面类，用于创建代理对象 -->
    <bean class="org.apache.shiro.spring.security.interceptor.AuthorizationAttributeSourceAdvisor"></bean>

第二步：在Action的方法上使用shiro注解

@RequiresPermissions("staff-delete")//执行这个方法，需要当前用户具有staff-delete的权限
    public String delBatchStaff() {
        staffService.delBatchStaff(ids);
        return LIST;
    }

第三步：在struts.xml中配置全局异常捕获，当shiro框架抛出权限不足异常时，跳转到权限不足提示页面

<!-- 配置全局结果集 -->
        <global-results>
            <result name="login">/login.jsp</result>
            <result name="unauthorized">/unauthorized.jsp</result>
        </global-results>
        
        <global-exception-mappings>
            <exception-mapping result="unauthorized" exception="org.apache.shiro.authz.UnauthorizedException" />
        </global-exception-mappings>

 4.总结shiro框架提供的权限控制方式

(1) URL拦截权限控制(基于过滤器实现)

<!-- 配置shiro框架过滤器工厂对象 -->
    <bean id="shiroFilter" class="org.apache.shiro.spring.web.ShiroFilterFactoryBean">
        <!-- 注入安全管理器對象 -->
        <property name="securityManager" ref="securityManager" />
        <property name="loginUrl" value="/login.jsp" />
        <property name="successUrl" value="/index.jsp" />
        <property name="unauthorizedUrl" value="/unauthorized.jsp" />
        <!-- 注入url拦截规则-->
        <property name="filterChainDefinitions">
            <value>
                /css/** = anon<!-- 匿名，不登录 -->
                /js/** = anon
                /image/** = anon
                /validatecode.jsp* = anon
                /login.jsp = anon
                /userAction_login.action = anon
                /page_base_staff.action = perms["staff-list"]<!-- perms过滤器,可以判断是否存在逻辑staff-list -->
                /* = authc<!-- 过滤器别名,判断当前用户是否认证 -->
            </value>
        </property>
    </bean>

(2) 方法注解权限控制(基于代理技术实现)

@RequiresPermissions("staff-delete")//执行这个方法，需要当前用户具有staff-delete的权限
    public String delBatchStaff() {
        staffService.delBatchStaff(ids);
        return LIST;
    }

(3) 页面标签权限控制(标签技术实现)

(4)代码级别权限控制(基于代理技术实现)