shiro教程（4）-shiro與項目集成開發

發布時間：2020-06-28 18:14:22 來源：網絡閱讀：779 作者：歐陽思海欄目：數據庫

1 shiro與項目集成開發

1.1 shiro與spring web項目整合

shiro與springweb項目整合在“基于url攔截實現的工程”基礎上整合，基于url攔截實現的工程的技術架構是springmvc+mybatis，整合注意兩點：

1、shiro與spring整合

2、加入shiro對web應用的支持

1.1.1 取消原springmvc認證和授權攔截器

去掉springmvc.xml中配置的LoginInterceptor和PermissionInterceptor攔截器。

1.1.2 加入shiro的jar包

shiro教程（4）-shiro與項目集成開發

1.1.3 web.xml添加shiro Filter

[html] view plain copy print? shiro教程（4）-shiro與項目集成開發

<filter>
<filter-name>shiroFilter</filter-name>
<filter-class>org.springframework.web.filter.DelegatingFilterProxy</filter-class>
<init-param>
<param-name>targetFilterLifecycle</param-name>
<param-value>true</param-value>
</init-param>
</filter>
<filter-mapping>
<filter-name>shiroFilter</filter-name>
<url-pattern>/*</url-pattern>
</filter-mapping>

1.1.4 applicationContext-shiro.xml

[html] view plain copy print? shiro教程（4）-shiro與項目集成開發

<bean id="shiroFilter" class="org.apache.shiro.spring.web.ShiroFilterFactoryBean">
<property name="securityManager" ref="securityManager" />
<property name="loginUrl" value="/login.action" />
<property name="unauthorizedUrl" value="/refuse.jsp" />
<property name="filters">
<map>
<entry key="authc" value-ref="formAuthenticationFilter" />
</map>
</property>
<property name="filterChainDefinitions">
<value>
/loginsubmit.action = authc
/logout.action = logout
/refuse.jsp = anon
/item/list.action = roles[item],authc
/js/** anon
/p_w_picpaths/** anon
/styles/** anon
/** = user
</value>
</property>
</bean>
<bean id="securityManager" class="org.apache.shiro.web.mgt.DefaultWebSecurityManager">
<property name="realm" ref="userRealm" />
</bean>
<bean id="userRealm" class="cn.itcast.ssm.realm.CustomRealm1">
</bean>
<bean id="formAuthenticationFilter"
class="org.apache.shiro.web.filter.authc.FormAuthenticationFilter">
<property name="usernameParam" value="usercode" />
<property name="passwordParam" value="password" />
<property name="loginUrl" value="/loginsubmit.action" />
</bean>

securityManager：這個屬性是必須的。

loginUrl：沒有登錄認證的用戶請求將跳轉到此地址，不是必須的屬性，不輸入地址的話會自動尋找項目web項目的根目錄下的”/login.jsp”頁面。

unauthorizedUrl：沒有權限默認跳轉的頁面。

1.1.5 使用shiro注解授權

在springmvc.xml中配置shiro注解支持，可在controller方法中使用shiro注解配置權限：

[html] view plain copy print? shiro教程（4）-shiro與項目集成開發

<aop:config proxy-target-class="true"></aop:config>
<bean
class="
org.apache.shiro.spring.security.interceptor.AuthorizationAttributeSourceAdvisor">
<property name="securityManager" ref="securityManager" />
</bean>

修改Controller代碼，在方法上添加授權注解，如下：

[java] view plain copy print? shiro教程（4）-shiro與項目集成開發

// 查詢商品列表
@RequestMapping("/queryItem")
@RequiresPermissions("item:query")
public ModelAndView queryItem() throws Exception {

上邊代碼@RequiresPermissions("item:query")表示必須擁有“item:query”權限方可執行。

其它的方法參考示例添加注解

1.1.6 自定義realm

此realm先不從數據庫查詢權限數據，當前需要先將shiro整合完成，在上邊章節定義的realm基礎上修改。

[java] view plain copy print? shiro教程（4）-shiro與項目集成開發

public class CustomRealm1 extends AuthorizingRealm {
@Autowired
private SysService sysService;
@Override
public String getName() {
return "customRealm";
}
// 支持什么類型的token
@Override
public boolean supports(AuthenticationToken token) {
return token instanceof UsernamePasswordToken;
}
// 認證
@Override
protected AuthenticationInfo doGetAuthenticationInfo(
AuthenticationToken token) throws AuthenticationException {
// 從token中獲取用戶身份信息
String username = (String) token.getPrincipal();
// 拿username從數據庫中查詢
// ....
// 如果查詢不到則返回null
if (!username.equals("zhang")) {// 這里模擬查詢不到
return null;
}
// 獲取從數據庫查詢出來的用戶密碼
String password = "123";// 這里使用靜態數據模擬。。
// 根據用戶id從數據庫取出菜單
//...先用靜態數據
List<SysPermission> menus = new ArrayList<SysPermission>();;
SysPermission sysPermission_1 = new SysPermission();
sysPermission_1.setName("商品管理");
sysPermission_1.setUrl("/item/queryItem.action");
SysPermission sysPermission_2 = new SysPermission();
sysPermission_2.setName("用戶管理");
sysPermission_2.setUrl("/user/query.action");
menus.add(sysPermission_1);
menus.add(sysPermission_2);
// 構建用戶身體份信息
ActiveUser activeUser = new ActiveUser();
activeUser.setUserid(username);
activeUser.setUsername(username);
activeUser.setUsercode(username);
activeUser.setMenus(menus);
// 返回認證信息由父類AuthenticatingRealm進行認證
SimpleAuthenticationInfo simpleAuthenticationInfo = new SimpleAuthenticationInfo(
activeUser, password, getName());
return simpleAuthenticationInfo;
}
// 授權
@Override
protected AuthorizationInfo doGetAuthorizationInfo(
PrincipalCollection principals) {
// 獲取身份信息
ActiveUser activeUser = (ActiveUser) principals.getPrimaryPrincipal();
//用戶id
String userid = activeUser.getUserid();
// 根據用戶id從數據庫中查詢權限數據
// ....這里使用靜態數據模擬
List<String> permissions = new ArrayList<String>();
permissions.add("item:query");
permissions.add("item:update");
// 將權限信息封閉為AuthorizationInfo
SimpleAuthorizationInfo simpleAuthorizationInfo = new SimpleAuthorizationInfo();
for (String permission : permissions) {
simpleAuthorizationInfo.addStringPermission(permission);
}
return simpleAuthorizationInfo;
}
}

1.1.7 登錄

[java] view plain copy print? shiro教程（4）-shiro與項目集成開發

//用戶登陸頁面
@RequestMapping("/login")
public String login()throws Exception{
return "login";
}
// 用戶登陸提交
@RequestMapping("/loginsubmit")
public String loginsubmit(Model model, HttpServletRequest request)
throws Exception {
// shiro在認證過程中出現錯誤后將異常類路徑通過request返回
String exceptionClassName = (String) request
.getAttribute("shiroLoginFailure");
if (UnknownAccountException.class.getName().equals(exceptionClassName)) {
throw new CustomException("賬號不存在");
} else if (IncorrectCredentialsException.class.getName().equals(
exceptionClassName)) {
throw new CustomException("用戶名/密碼錯誤");
} else{
throw new Exception();//最終在異常處理器生成未知錯誤
}
}

1.1.8 首頁

由于session由shiro管理，需要修改首頁的controller方法：

[java] view plain copy print? shiro教程（4）-shiro與項目集成開發

//系統首頁
@RequestMapping("/first")
public String first(Model model)throws Exception{
//主體
Subject subject = SecurityUtils.getSubject();
//身份
ActiveUser activeUser = (ActiveUser) subject.getPrincipal();
model.addAttribute("activeUser", activeUser);
return "/first";
}

1.1.9 退出

由于使用shiro的sessionManager，不用開發退出功能，使用shiro的logout攔截器即可。

[html] view plain copy print? shiro教程（4）-shiro與項目集成開發

/logout.action = logout

1.1.10 無權限refuse.jsp

當用戶無操作權限，shiro將跳轉到refuse.jsp頁面。

參考：applicationContext-shiro.xml

1.2 realm連接數據庫

1.2.1 添加憑證匹配器

添加憑證匹配器實現md5加密校驗。

修改applicationContext-shiro.xml：

[html] view plain copy print? shiro教程（4）-shiro與項目集成開發

<bean id="credentialsMatcher"
class="org.apache.shiro.authc.credential.HashedCredentialsMatcher">
<property name="hashAlgorithmName" value="md5" />
<property name="hashIterations" value="1" />
</bean>
<bean id="userRealm" class="cn.itcast.ssm.realm.CustomRealm1">
<property name="credentialsMatcher" ref="credentialsMatcher" />
</bean>

1.2.2 realm代碼

修改realm代碼從數據庫中查詢用戶身份信息和權限信息，將sysService注入realm。

[java] view plain copy print? shiro教程（4）-shiro與項目集成開發

public class CustomRealm1 extends AuthorizingRealm {
@Autowired
private SysService sysService;
@Override
public String getName() {
return "customRealm";
}
// 支持什么類型的token
@Override
public boolean supports(AuthenticationToken token) {
return token instanceof UsernamePasswordToken;
}
@Override
protected AuthenticationInfo doGetAuthenticationInfo(
AuthenticationToken token) throws AuthenticationException {
// 從token中獲取用戶身份
String usercode = (String) token.getPrincipal();
SysUser sysUser = null;
try {
sysUser = sysService.findSysuserByUsercode(usercode);
} catch (Exception e) {
// TODO Auto-generated catch block
e.printStackTrace();
}
// 如果賬號不存在
if (sysUser == null) {
throw new UnknownAccountException("賬號找不到");
}
// 根據用戶id取出菜單
List<SysPermission> menus = null;
try {
menus = sysService.findMenuList(sysUser.getId());
} catch (Exception e) {
// TODO Auto-generated catch block
e.printStackTrace();
}
// 用戶密碼
String password = sysUser.getPassword();
//鹽
String salt = sysUser.getSalt();
// 構建用戶身體份信息
ActiveUser activeUser = new ActiveUser();
activeUser.setUserid(sysUser.getId());
activeUser.setUsername(sysUser.getUsername());
activeUser.setUsercode(sysUser.getUsercode());
activeUser.setMenus(menus);
SimpleAuthenticationInfo simpleAuthenticationInfo = new SimpleAuthenticationInfo(
activeUser, password, ByteSource.Util.bytes(salt),getName());
return simpleAuthenticationInfo;
}
@Override
protected AuthorizationInfo doGetAuthorizationInfo(
PrincipalCollection principals) {
//身份信息
ActiveUser activeUser = (ActiveUser) principals.getPrimaryPrincipal();
//用戶id
String userid = activeUser.getUserid();
//獲取用戶權限
List<SysPermission> permissions = null;
try {
permissions = sysService.findSysPermissionList(userid);
} catch (Exception e) {
// TODO Auto-generated catch block
e.printStackTrace();
}
//構建shiro授權信息
SimpleAuthorizationInfo simpleAuthorizationInfo = new SimpleAuthorizationInfo();
for(SysPermission sysPermission:permissions){
simpleAuthorizationInfo.addStringPermission(sysPermission.getPercode());
}
return simpleAuthorizationInfo;
}
}

1.3 緩存

shiro每個授權都會通過realm獲取權限信息，為了提高訪問速度需要添加緩存，第一次從realm中讀取權限數據，之后不再讀取，這里Shiro和Ehcache整合。

1.3.1 添加Ehcache的jar包

1.3.2 配置

在applicationContext-shiro.xml中配置緩存管理器。

[html] view plain copy print? shiro教程（4）-shiro與項目集成開發

<bean id="securityManager" class="org.apache.shiro.web.mgt.DefaultWebSecurityManager">
<property name="realm" ref="userRealm" />
<property name="sessionManager" ref="sessionManager" />
<property name="cacheManager" ref="cacheManager"/>
</bean>
<bean id="cacheManager" class="org.apache.shiro.cache.ehcache.EhCacheManager">
</bean>

1.4 session管理

在applicationContext-shiro.xml中配置sessionManager：

[html] view plain copy print? shiro教程（4）-shiro與項目集成開發

<bean id="securityManager" class="org.apache.shiro.web.mgt.DefaultWebSecurityManager">
<property name="realm" ref="userRealm" />
<property name="sessionManager" ref="sessionManager" />
</bean>
<bean id="sessionManager" class="org.apache.shiro.web.session.mgt.DefaultWebSessionManager">
<property name="globalSessionTimeout" value="600000"/>
<property name="deleteInvalidSessions" value="true"/>
</bean>

1.5 驗證碼

1.5.1 自定義FormAuthenticationFilter

需要在驗證賬號和名稱之前校驗驗證碼。

[java] view plain copy print? shiro教程（4）-shiro與項目集成開發

public class MyFormAuthenticationFilter extends FormAuthenticationFilter {
protected boolean onAccessDenied(ServletRequest request,
ServletResponse response, Object mappedValue) throws Exception {
// 校驗驗證碼
// 從session獲取正確的驗證碼
HttpSession session = ((HttpServletRequest)request).getSession();
//頁面輸入的驗證碼
String randomcode = request.getParameter("randomcode");
//從session中取出驗證碼
String validateCode = (String) session.getAttribute("validateCode");
if (!randomcode.equals(validateCode)) {
// randomCodeError表示驗證碼錯誤
request.setAttribute("shiroLoginFailure", "randomCodeError");
//拒絕訪問，不再校驗賬號和密碼
return true;
}
return super.onAccessDenied(request, response, mappedValue);
}
}

1.5.2 修改FormAuthenticationFilter配置

修改applicationContext-shiro.xml中對FormAuthenticationFilter的配置。

[html] view plain copy print? shiro教程（4）-shiro與項目集成開發

<bean id="formAuthenticationFilter"
class="org.apache.shiro.web.filter.authc.FormAuthenticationFilter">
改為
<bean id="formAuthenticationFilter"
class="cn.itcast.ssm.shiro.MyFormAuthenticationFilter">

1.5.3 登陸頁面

添加驗證碼：

[html] view plain copy print? shiro教程（4）-shiro與項目集成開發

<TR>
<TD>驗證碼：</TD>
<TD><input id="randomcode" name="randomcode" size="8" /> <img
id="randomcode_img" src="${baseurl}validatecode.jsp" alt=""
width="56" height="20" align='absMiddle' /> <a
href=javascript:randomcode_refresh()>刷新</a></TD>
</TR>

1.5.4 配置validatecode.jsp匿名訪問

修改applicationContext-shiro.xml：

1.6 記住我

用戶登陸選擇“自動登陸”本次登陸成功會向cookie寫身份信息，下次登陸從cookie中取出身份信息實現自動登陸。

1.6.1 用戶身份實現java.io.Serializable接口

向cookie記錄身份信息需要用戶身份信息對象實現序列化接口，如下：

shiro教程（4）-shiro與項目集成開發

1.6.2 配置

[html] view plain copy print? shiro教程（4）-shiro與項目集成開發

<bean id="securityManager" class="org.apache.shiro.web.mgt.DefaultWebSecurityManager">
<property name="realm" ref="userRealm" />
<property name="sessionManager" ref="sessionManager" />
<property name="cacheManager" ref="cacheManager"/>
<property name="rememberMeManager" ref="rememberMeManager"/>
</bean>
<bean id="rememberMeManager" class="org.apache.shiro.web.mgt.CookieRememberMeManager">
<property name="cookie" ref="rememberMeCookie" />
</bean>
<bean id="rememberMeCookie" class="org.apache.shiro.web.servlet.SimpleCookie">
<constructor-arg value="rememberMe" />
<property name="maxAge" value="2592000" />
</bean>

修改formAuthenticationFitler添加頁面中“記住我checkbox”的input名稱：

[html] view plain copy print? shiro教程（4）-shiro與項目集成開發

<bean id="formAuthenticationFilter"
class="cn.itcast.ssm.shiro.MyFormAuthenticationFilter">
<property name="usernameParam" value="usercode" />
<property name="passwordParam" value="password" />
<property name="rememberMeParam" value="rememberMe"/>
<property name="loginUrl" value="/loginsubmit.action" />
</bean>

1.6.3 登陸頁面

在login.jsp中添加“記住我”checkbox。

[html] view plain copy print? shiro教程（4）-shiro與項目集成開發

<TR>
<TD></TD>
<TD>
<input type="checkbox" name="rememberMe" />自動登陸
</TD>
</TR>

2 附：

2.1 shiro過慮器

過濾器簡稱	對應的Java類
anon	org.apache.shiro.web.filter.authc.AnonymousFilter
authc	org.apache.shiro.web.filter.authc.FormAuthenticationFilter
authcBasic	org.apache.shiro.web.filter.authc.BasicHttpAuthenticationFilter
perms	org.apache.shiro.web.filter.authz.PermissionsAuthorizationFilter
port	org.apache.shiro.web.filter.authz.PortFilter
rest	org.apache.shiro.web.filter.authz.HttpMethodPermissionFilter
roles	org.apache.shiro.web.filter.authz.RolesAuthorizationFilter
ssl	org.apache.shiro.web.filter.authz.SslFilter
user	org.apache.shiro.web.filter.authc.UserFilter
logout	org.apache.shiro.web.filter.authc.LogoutFilter

anon:例子/admins/**=anon 沒有參數，表示可以匿名使用。

authc:例如/admins/user/**=authc表示需要認證(登錄)才能使用，沒有參數

roles：例子/admins/user/**=roles[admin],參數可以寫多個，多個時必須加上引號，并且參數之間用逗號分割，當有多個參數時，例如admins/user/**=roles["admin,guest"],每個參數通過才算通過，相當于hasAllRoles()方法。

perms：例子/admins/user/**=perms[user:add:*],參數可以寫多個，多個時必須加上引號，并且參數之間用逗號分割，例如/admins/user/**=perms["user:add:*,user:modify:*"]，當有多個參數時必須每個參數都通過才通過，想當于isPermitedAll()方法。

rest：例子/admins/user/**=rest[user],根據請求的方法，相當于/admins/user/**=perms[user:method] ,其中method為post，get，delete等。

port：例子/admins/user/**=port[8081],當請求的url的端口不是8081是跳轉到schemal://serverName:8081?queryString,其中schmal是協議http或https等，serverName是你訪問的host,8081是url配置里port的端口，queryString

是你訪問的url里的？后面的參數。

authcBasic：例如/admins/user/**=authcBasic沒有參數表示httpBasic認證

ssl:例子/admins/user/**=ssl沒有參數，表示安全的url請求，協議為https

user:例如/admins/user/**=user沒有參數表示必須存在用戶，當登入操作時不做檢查

注：

anon，authcBasic，auchc，user是認證過濾器，

perms，roles，ssl，rest，port是授權過濾器

2.2 shiro的jsp標簽

Jsp頁面添加：

<%@ tagliburi="http://shiro.apache.org/tags" prefix="shiro" %>

標簽名稱	標簽條件（均是顯示標簽內容）
<shiro:authenticated>	登錄之后
<shiro:notAuthenticated>	不在登錄狀態時
<shiro:guest>	用戶在沒有RememberMe時
<shiro:user>	用戶在RememberMe時
<shiro:hasAnyRoles name="abc,123" >	在有abc或者123角色時
<shiro:hasRole name="abc">	擁有角色abc
<shiro:lacksRole name="abc">	沒有角色abc
<shiro:hasPermission name="abc">	擁有權限資源abc
<shiro:lacksPermission name="abc">	沒有abc權限資源
<shiro:principal>	顯示用戶身份名稱

<shiro:principal property="username"/> 顯示用戶身份中的屬性值

向AI問一下細節

中文字幕av专区_日韩电影在线播放_精品国产精品久久一区免费式_av在线免费观看网站

shiro教程（4）-shiro與項目集成開發

1 shiro與項目集成開發

1.1 shiro與spring web項目整合

1.1.1 取消原springmvc認證和授權攔截器

1.1.2 加入shiro的jar包

1.1.3 web.xml添加shiro Filter

1.1.4 applicationContext-shiro.xml

1.1.5 使用shiro注解授權

1.1.6 自定義realm

1.1.7 登錄

1.1.8 首頁

1.1.9 退出

1.1.10 無權限refuse.jsp

1.2 realm連接數據庫

1.2.1 添加憑證匹配器

1.2.2 realm代碼

1.3 緩存

1.3.1 添加Ehcache的jar包

1.3.2 配置

1.4 session管理

1.5 驗證碼

1.5.1 自定義FormAuthenticationFilter

1.5.2 修改FormAuthenticationFilter配置

1.5.3 登陸頁面

1.5.4 配置validatecode.jsp匿名訪問

1.6 記住我

1.6.1 用戶身份實現java.io.Serializable接口

1.6.2 配置

1.6.3 登陸頁面

2 附：

2.1 shiro過慮器

2.2 shiro的jsp標簽

猜你喜歡

中文字幕av专区_日韩电影在线播放_精品国产精品久久一区免费式_av在线免费观看网站

shiro教程（4）-shiro與項目集成開發

1 shiro與項目集成開發

1.1 shiro與spring web項目整合

1.1.1 取消原springmvc認證和授權攔截器

1.1.2 加入shiro的jar包

1.1.3 web.xml添加shiro Filter

1.1.4 applicationContext-shiro.xml

1.1.5 使用shiro注解授權

1.1.6 自定義realm

1.1.7 登錄

1.1.8 首頁

1.1.9 退出

1.1.10 無權限refuse.jsp

1.2 realm連接數據庫

1.2.1 添加憑證匹配器

1.2.2 realm代碼

1.3 緩存

1.3.1 添加Ehcache的jar包

1.3.2 配置

1.4 session管理

1.5 驗證碼

1.5.1 自定義FormAuthenticationFilter

1.5.2 修改FormAuthenticationFilter配置

1.5.3 登陸頁面

1.5.4 配置validatecode.jsp匿名訪問

1.6 記住我

1.6.1 用戶身份實現java.io.Serializable接口

1.6.2 配置

1.6.3 登陸頁面

2 附：

2.1 shiro過慮器

2.2 shiro的jsp標簽

猜你喜歡

最新資訊

相關推薦

相關標簽