Apache shiro权限基本使用

l shiro框架的核心功能：认证、授权、会话管理、加密

Application Code：应用程序代码，由开发人员负责开发的

Subject：框架提供的接口，代表当前用户对象

SecurityManager：框架提供的接口，代表安全管理器对象

Realm：可以开发人员编写，框架也提供一些，类似于ＤＡＯ，用于访问权限数据

一 、在pom中引入相关依赖

<!-- 引入shiro框架的依赖 -->
<dependency>
    <groupId>org.apache.shiro</groupId>
    <artifactId>shiro-all</artifactId>
    <version>1.2.2</version>
</dependency>

二、在web.xml中配置spring框架提供的用于整合shiro框架的过滤器

<!-- 配置shiro框架，进行权限认证 -->
  <filter>
      <filter-name>shiroFilter</filter-name>
      <filter-class>org.springframework.web.filter.DelegatingFilterProxy</filter-class>
  </filter>
  <filter-mapping>
      <filter-name>shiroFilter</filter-name>
      <url-pattern>/*</url-pattern>
  </filter-mapping>

三、在spring配置文件中配置bean，id为shiroFilter

<!-- 配置shiro框架过滤器工厂对象 -->
    <bean id="shiroFilter" class="org.apache.shiro.spring.web.ShiroFilterFactoryBean">
        <!-- 注入安全管理器对象 -->
        <property name="securityManager" ref="securityManager"></property>
        <!-- 注入相关页面的url -->
        <property name="loginUrl" value="/login.jsp"></property>
        <property name="successUrl" value="/index.jsp"></property>
        <property name="unauthorizedUrl" value="/unauthorized.jsp"></property>
        <!-- 注入url拦截规整 -->
        <property name="filterChainDefinitions">
            <value>
                /css/** anon
                /js/** = anon
                /images/** = anon
                /validatecode.jsp* = anon
                /login.jsp = anon
                /userAction_login.action = anon
                /page_base_staff.action = perms["staff-list"]
                /* = authc
            </value>
        </property>
    </bean>

<!-- 注册安全管理器对象 -->
<bean id="securityManager" class="org.apache.shiro.web.mgt.DefaultWebSecurityManager">
        <property name="realm" ref="borRealm"></property>
        <!-- 注入缓存管理器 -->
        <property name="cacheManager" ref="ehCacheManager"></property>
</bean>

<!-- 注册realm -->
    <bean id="borRealm" class="com.itheima.bos.realm.BOSRealm"></bean>

<!-- 开启shrio框架注解支持 -->
    <bean id="defaultAdvisorAutoProxyCreator" class="org.springframework.aop.framework.autoproxy.DefaultAdvisorAutoProxyCreator">
        <!-- 强制使用cglib代理，为Action对象创建代理对象 -->
        <property name="proxyTargetClass" value="true"></property>
    </bean>
    <!-- 配置shrio框架提供的切面类，用于创建代理对象 -->
    <bean id="" class="org.apache.shiro.spring.security.interceptor.AuthorizationAttributeSourceAdvisor"/>

<!-- 注册缓存管理器 -->
    <bean id="ehCacheManager" class="org.apache.shiro.cache.ehcache.EhCacheManager">
        <property name="cacheManagerConfigFile" value="classpath:ehcache.xml"></property>
    </bean>

四、修改login方法

public String login() {
        //校验验证码是否通过
        HttpSession session = ServletActionContext.getRequest().getSession();
        String key = (String) session.getAttribute("key");
        if(StringUtils.equals(checkcode, key)) {
            //使用shrio框架提供的方式进行验证
            Subject subject = SecurityUtils.getSubject();//获得当前用户对象，状态为 未认证
            AuthenticationToken token = new UsernamePasswordToken(model.getUsername(),MD5Utils.md5(model.getPassword()));//创建用户名和密码令牌对象
            try {
                subject.login(token);
            } catch (Exception e) {
                e.printStackTrace();
                return LOGIN;
            }
            User user = (User) subject.getPrincipal();
            session.setAttribute("loginUser", user);
            return HOME;
        }else {
            //验证码错误
            this.addActionError("输入验证码错误");
            return LOGIN;
        }
    }

五、自定义realm，并注入给安全管理器

public class BOSRealm extends AuthorizingRealm {
    @Autowired
    private UserDao userDao;
    @Autowired
    private FunctionDao functionDao;
    
    //认证
    @Override
    protected AuthenticationInfo doGetAuthenticationInfo(AuthenticationToken token) throws AuthenticationException {
        System.out.println("自定义的认证方法执行了");
        UsernamePasswordToken passwordToken = (UsernamePasswordToken) token;
        //获得页面输入的用户名
        String username = passwordToken.getUsername();
        //根据用户名密码查询数据库中的密码
        User user = userDao.findUserByUsername(username);
        if(user == null) {
            //页面输入的用户名不存在
            return null;
        }
        //简单认证信息对象
        AuthenticationInfo info = new SimpleAuthenticationInfo(user,user.getPassword(),this.getName());
        return info;
    }
    //授权
    @Override
    protected AuthorizationInfo doGetAuthorizationInfo(PrincipalCollection principalCollection) {
        SimpleAuthorizationInfo info = new SimpleAuthorizationInfo();
        //为用户授权
        //info.addStringPermission("staff-list");
        //根据当前登录用户查询数据库，获取实际对应的权限
        User user = (User) SecurityUtils.getSubject().getPrincipal();//获取当前登录用户对象
        //User user2 = (User) principalCollection.getPrimaryPrincipal();
        List<Function> list = null;
        if(user.getUsername().equals("admin")) {
            DetachedCriteria detachedCriteria = DetachedCriteria.forClass(Function.class);
            list = functionDao.findByCriteria(detachedCriteria );
        }else {
            list = functionDao.findFunctionListByUserId(user.getId());
        }
        for(Function function : list) {
            info.addStringPermission(function.getCode());
        }
        return info;
    }
}

六、在方法上使用注解

//批量删除
    @RequiresPermissions("staff-delete")//执行这个方法，需要staff-delete权限
    public String deleteBatch() {
        staffService.deleteBatch(ids);
        return LIST;
    }