SpringBoot+jwt+shiro+token实现对接口权限校验

最近在一个项目上实现登录模块，就想到了权限验证功能，了解了Spring Security和Shiro之后，决定使用Shiro来实现简单的鉴权功能，Spring Security相比Shiro功能更加强大，相应的，学习成本也更高。

1.Shiro介绍

Shiro是apache旗下一个开源框架，它将软件系统的安全认证相关的功能抽取出来，实现用户身份认证，权限授权、加密、会话管理等功能，组成了一个通用的安全认证框架。
三个核心组件：Subject, SecurityManager 和 Realms

三大核心组件关系：

Subject：主体，代表了当前的“用户”，这个用户不一定是一个具体的人，与当前应用交互的任何东西都是主体，如第三方进程、网络爬虫、机器人等，Subject是一个抽象概念，所有的Subject都绑定到SecurityManager，与Subject的所有交互都会委托给SecurityManager，可以把Subject认为是一个门面；SecurityManager才是实际的执行者；

SecurityManager：安全管理器，即所有与安全有关的操作都会与SecurityManager进行交互，是Shiro框架的核心，管理所有的Subject，类似于Spring MVC的前端控制器DispatcherServlet；

Realm域：Shiro从Realm中获取安全数据（比如用户、角色、权限），SecurityManager要验证用户身份，需要从Realm中获取相应的用户进行比较确定用户是否合法；验证用户角色/权限也需要从Realm获得相应数据进行比较，类似于DataSource，安全数据源；它封装了数据源的连接细节，并在需要时将相关数据提供给Shiro.

Realm域的认证和授权

认证（authentication）
在程序中认证要做的事情主要是搞明白访问者是谁，他有没有在我们系统中注册过？他是不是我们系统中的用户？如果是，那么这个用户有没有被我们加入黑名单！这是认证要做的事情。举个例子：进一个旅游景区首先要买票吧，要是你手里没有票在检票口会被检票大叔/大妈直接拦住，不让你进去，如果你手里有票，大叔还会看一眼你票是不是今天买的，有没有过期啊……如果你有票并且一切正常，那么你进可以进去了。这就是一个认证的过程！

授权（authorization）
授权的作用主要是验证你有没有访问某项资源的权利！我们都知道在MySQL数据库中，root用户可以随便增删改查各个库的数据，但是普通用户可能就只有查看到权利，而没有删除和修改的权利。在程序中也一样，有一个很常见的需求：用户A可以访问和并修改一个页面，对于用户B可能就只有访问这个页面的权利，而不能修改！

需要注意的是：Shiro本身不提供维护用户、权限，而是通过Realm让开发人员自己注入到SecurityManager，从而让SecurityManager能得到合法的用户以及权限进行判断；

2.JWT介绍

JWT(JSON Web Token)，由请求头、请求体和签名3部分组成，它主要用来生成token，进行认证。

3.实现认证和授权的整体思路

客户端访问服务端，服务端对请求进行认证，主要包括用户名和密码是否正确，如果认证成功会给客户端颁发一个凭证token，后面客户端再访问服务端的时候都要携带这个token，如果不携带或者token被篡改，都会认证失败！如果token认证成功，客户端访问资源，那么此时服务端还会去认证该用户是否有访问此资源的权利！如果此用户没有访问这个资源的权利，同样会访问失败！

4.前置准备

4.1 数据库设计

权限的认证和校验采用RBAC模型，总共有5张表，分别为user、user_role、role、role_permission和permission，
其中user_role和role_permission为中间表，user表和role表示一对多的关系，
role表和permission表也是一对多的关系。

4.2Maven依赖

        <dependency><groupId>org.apache.shiro</groupId><artifactId>shiro-spring</artifactId><version>1.5.3</version></dependency><dependency><groupId>org.apache.shiro</groupId><artifactId>shiro-core</artifactId><version> 1.5.3</version></dependency><dependency><groupId>com.auth0</groupId><artifactId>java-jwt</artifactId><version>3.18.1</version></dependency><dependency><groupId>io.jsonwebtoken</groupId><artifactId>jjwt</artifactId><version>0.9.1</version></dependency>

5.代码实现

5.1工具类

JWT基础工具，用于提供token生成和解密底层功能

import io.jsonwebtoken.*;import java.util.Date;public class JwtUtils {/*** 实例（单例）*/private volatile static JwtUtils instance;/*** 发行者*/private String subObject = "发行者名称";/*** 过期时间，默认7天*/private long expired = 1000 * 60 * 60 * 24 * 7;/*** jwt构造*/private static JwtBuilder jwtBuilder;/*** 密钥*/private String secret = "你的密钥";// 密钥private JwtUtils(){}/*** 获取实例* @return*/public static JwtUtils getInstance(){if (instance == null){synchronized (JwtUtils.class){if (instance == null){instance = new JwtUtils();}}}jwtBuilder = Jwts.builder();return instance;}/*** 荷载信息(通常是一个User信息，还包括一些其他的元数据)* @param key* @param val* @return*/public JwtUtils setClaim(String key,Object val){jwtBuilder.claim(key,val);return this;}/*** 生成 jwt token* @return*/public String generateToken(){String token = jwtBuilder.setSubject(subObject) // 发行者//.claim("id","121") // 参数
//                .setIssuedAt(new Date()) // 发行时间.setExpiration(new Date(System.currentTimeMillis() + expired)).signWith(SignatureAlgorithm.HS256,secret) // 签名类型 与 密钥.compressWith(CompressionCodecs.DEFLATE)// 对载荷进行压缩.compact(); // 压缩一下return token;}/*** 解析 token* @param token* @return*/public Claims check(String token){try{final Claims claims = Jwts.parser().setSigningKey(secret).parseClaimsJws(token).getBody();return claims;}catch (Exception e){}return null;}public String getSubObject() {return subObject;}/*** 设置发行者* @param subObject* @return*/public JwtUtils setSubObject(String subObject) {this.subObject = subObject;return this;}public long getExpired() {return expired;}/*** 设置过期时间* @param expired* @return*/public JwtUtils setExpired(long expired) {this.expired = expired;return this;}public String getSecret() {return secret;}/*** 设置密钥* @param secret* @return*/public JwtUtils setSecret(String secret) {this.secret = secret;return this;}
}

Token业务工具类，用于根据自己业务需要来生成相应token，包括写入redis等，此处我们业务上是用户手机号唯一（根据业务可以替换为用户id等）

@Component
public class TokenUtil {@ResourceRedisTemplate<String,Object> redisTemplate;public static final String TOKEN = "login_user.token:";private static final String PHONE = "login_user.phone:";/*** jwt生成token* */public  String makeToken(String telephone){JwtUtils jwt = JwtUtils.getInstance();return jwt.setClaim(PHONE, telephone).generateToken();}/*** 生成token，存入redis中，设置七天失效时间* */public  String makeTokenInRedis(UserInfoDTO userInfoDTO){final String telephone = userInfoDTO.getTelephone();String token = makeToken(telephone);Map<String,Object> map = new HashMap<>();map.put("信息","用户信息");...用户其他信息省略，根据业务需要自行添加String s = JSON.toJSONString(map);
//        RedisTemplate<Object,Object> redisTemplate = new RedisTemplate<>();//redis具体存储逻辑可以自行调整
redisTemplate.opsForValue().set(TOKEN+telephone,s,7,TimeUnit.DAYS);return token;}/*** 解析token* */public  JSONObject tokenAnalysis(String token){JwtUtils jwt = JwtUtils.getInstance();Claims check = jwt.check(token);if (check==null){return null;}String msg = (String)redisTemplate.boundValueOps(TOKEN+check.get(PHONE)).get();if (msg==null){return null;}return JSONObject.parseObject(msg);}}

shiro token信息封装

@AllArgsConstructor
public class JwtToken implements AuthenticationToken {private String token;@Overridepublic Object getPrincipal() {return token;}@Overridepublic Object getCredentials() {return token;}
}

5.2 业务层

实体（已简化，可以根据需要将Role和Permission展开）

import lombok.Data;import java.util.List;/*** 简化版，如果后续需要，将role和permission分别建立实体。*/
@Data
public class UserRole {//用户idLong userId;//角色名称集合List<String> roles;//权限名称集合List<String> permissions;
}

Service层(接口已省略，只贴实现类)

@Service
public class UserRoleImpl implements UserRoleService {@ResourceUserRoleMapper userRoleMapper;@Overridepublic UserRole getUserRole(UserInfoDTO userInfoDTO) {final Long userInfoDTOId = userInfoDTO.getId();final List<String> userRolesById = userRoleMapper.findUserRolesById(userInfoDTOId);final List<String> userPermissionsById = userRoleMapper.findUserPermissionsById(userInfoDTOId);UserRole userRole = new UserRole();userRole.setUserId(userInfoDTOId);userRole.setRoles(userRolesById);userRole.setPermissions(userPermissionsById);return userRole;}
}

DAO层(此处我的两个方法分别是根据用户id查询该用户的所有角色，以及根据用户id查询该用户的所有权限)

@Mapper
public interface UserRoleMapper {//id与userid相同List<String> findUserRolesById(@Param("id")Long id);List<String>  findUserPermissionsById(@Param("id")Long id);
}

5.3 shiro相关

shiro配置

@Configuration
@Slf4j
public class ShiroConfig {/*** 注册shiro的Filter，拦截请求*/@Bean("securityManager")public SecurityManager securityManager(UserRealm userRealm) {/** 关闭shiro自带的session，详情见文档* http://shiro.apache.org/session-management.html#SessionManagement-StatelessApplications%28Sessionless%29*/DefaultSubjectDAO subjectDAO = new DefaultSubjectDAO();DefaultSessionStorageEvaluator defaultSessionStorageEvaluator = new DefaultSessionStorageEvaluator();defaultSessionStorageEvaluator.setSessionStorageEnabled(false);subjectDAO.setSessionStorageEvaluator(defaultSessionStorageEvaluator);//设置managerDefaultWebSecurityManager manager = new DefaultWebSecurityManager();manager.setRealm(userRealm);return manager;}@Bean("lifecycleBeanPostProcessor")public LifecycleBeanPostProcessor lifecycleBeanPostProcessor() {return new LifecycleBeanPostProcessor();}/*** @return org.apache.shiro.spring.security.interceptor.AuthorizationAttributeSourceAdvisor* @Description 开启shiro aop注解支持.使用代理方式;所以需要开启代码支持;* @Param [securityManager]**/@Beanpublic AuthorizationAttributeSourceAdvisor authorizationAttributeSourceAdvisor(SecurityManager securityManager) {AuthorizationAttributeSourceAdvisor advisor = new AuthorizationAttributeSourceAdvisor();advisor.setSecurityManager(securityManager);return advisor;}@Bean("shiroFilter")public ShiroFilterFactoryBean shiroFilterFactoryBean(SecurityManager securityManager) {ShiroFilterFactoryBean filter = new ShiroFilterFactoryBean();filter.setSecurityManager(securityManager);//加入自定义的filter// setLoginUrl 如果不设置值，默认会自动寻找Web工程根目录下的"/login.jsp"页面 或 "/login" 映射//前后端分离项目中该链接应该为后端接口的访问url，通过该接口返回需要登录的状态码，由前端跳转至登录页面//shiroFilter.setLoginUrl("/user/login");// 设置无权限时跳转的 url;//shiroFilter.setUnauthorizedUrl("/user/test");// 添加自己的过滤器并且取名为jwtMap<String, Filter> filterMap = filter.getFilters();filterMap.put("jwt", new jwtFilter());filter.setFilters(filterMap);//定义相关路径filter.setLoginUrl("/login");filter.setUnauthorizedUrl("/noAuthorize");// 设置拦截器//定义拦截路径,记得将静态资源也排除过滤/*进行权限的控制,必须使用LinkHashMap,shrio要按照顺序进行设置*/Map<String, String> authMap = new LinkedHashMap<>();//anon:无参，开放权限，可以理解为匿名用户或游客authMap.put("/user/login", "anon");authMap.put("/user/register", "anon");//其余接口一律拦截//主要这行代码必须放在所有权限设置的最后，不然会导致所有 url 都被拦截//authc:无参，需要认证authMap.put("/**", "jwt");filter.setFilterChainDefinitionMap(authMap);//配置完成log.info("shiro factory 创建成功");return filter;}@Bean("jwtFilter")public JwtFilter jwtFilter() {return new JwtFilter();}/*** SpringShiroFilter首先注册到spring容器* 然后被包装成FilterRegistrationBean* 最后通过FilterRegistrationBean注册到servlet容器* @return*/@Bean@SuppressWarnings("all")public FilterRegistrationBean delegatingFilterProxy(){FilterRegistrationBean filterRegistrationBean = new FilterRegistrationBean();DelegatingFilterProxy proxy = new DelegatingFilterProxy();proxy.setTargetFilterLifecycle(true);proxy.setTargetBeanName("shiroFilter");filterRegistrationBean.setFilter(proxy);return filterRegistrationBean;}@Beanpublic DefaultAdvisorAutoProxyCreator defaultAdvisorAutoProxyCreator() {DefaultAdvisorAutoProxyCreator defaultAdvisorAutoProxyCreator = new DefaultAdvisorAutoProxyCreator();// 强制使用cglib，防止重复代理和可能引起代理出错的问题// https://zhuanlan.zhihu.com/p/29161098defaultAdvisorAutoProxyCreator.setProxyTargetClass(true);return defaultAdvisorAutoProxyCreator;}
}

Realm


/*** Shiro从从Realm获取安全数据（如用户、角色、权限）* ，就是说SecurityManager要验证用户身份，那么它需要从Realm获取相应* 的用户进行比较以确定用户身份是否合法；也需要从Realm得到用户相应的角色/权限进行验证用户是否能进行操作；* 可以把Realm看成DataSource，即安全数据源。Realm主要有两个方法：* doGetAuthorizationInfo(获取授权信息)* doGetAuthenticationInfo(获取身份验证相关信息)：* @Version 1.0**/
@Configuration
@Slf4j
public class UserRealm extends AuthorizingRealm {@ResourceUserRoleService userRoleService;@ResourceTokenUtil tokenUtil;//根据token解析body得到的用户部分信息来富化该用户全部信息，如果之前token是根据用户全量信息生成的，可以省略@ResourceUserMapper userMapper;@Overridepublic boolean supports(AuthenticationToken token) {return token instanceof JwtToken;}/*** 授权(验证权限时调用)* 这个方法就会从数据库中读取我们所需要的信息，最后封装成SimpleAuthorizationInfo返回去*/@Overrideprotected AuthorizationInfo doGetAuthorizationInfo(PrincipalCollection principalCollection) {SimpleAuthorizationInfo authorizationInfo = new SimpleAuthorizationInfo();UserInfo userInfo = UserCache.getCurrentUser();UserInfoDTO userInfoDTO = new UserInfoDTO();BeanUtils.copyProperties(userInfo,userInfoDTO);//添加角色及权限UserRole userRole = this.userRoleService.getUserRole(userInfoDTO);userRole.getRoles().forEach(authorizationInfo::addRole);userRole.getPermissions().forEach(authorizationInfo::addStringPermission);return authorizationInfo;}/*** 认证(登录时调用)*/@SneakyThrows@Overrideprotected AuthenticationInfo doGetAuthenticationInfo(AuthenticationToken authenticationToken)  {final String token = (String) authenticationToken.getCredentials();log.info("正在对token进行登录验证...");JSONObject object = tokenUtil.tokenAnalysis(token);if (Objects.isNull(object)){log.error("token为{}的用户token错误",token);throw new Exception("token错误...");}String telephone = object.getString("telephone");UserInfo userInfo = this.userMapper.getUserInfoByTelephone(telephone);if (Objects.isNull(userInfo)){log.error("token为{}的用户信息不存在",token);throw new UnknownAccountException("用户信息不存在...");}//缓存添加当前用户信息(这个就是个ThreadLocal存储登录用户信息)UserCache.addCurrentUser(userInfo);return new SimpleAuthenticationInfo(token,token,"UserRealm");}
}

JwtFilter

@Slf4j
public class JwtFilter extends BasicHttpAuthenticationFilter {@Overrideprotected boolean isLoginAttempt(ServletRequest request, ServletResponse response) {HttpServletRequest req = (HttpServletRequest) request;String authorization = req.getHeader("Authorization");return authorization != null;}/*** 这里我们详细说明下为什么最终返回的都是true，即允许访问* 例如我们提供一个地址 GET /article* 登入用户和游客看到的内容是不同的* 如果在这里返回了false，请求会被直接拦截，用户看不到任何东西* 所以我们在这里返回true，Controller中可以通过 subject.isAuthenticated() 来判断用户是否登入* 如果有些资源只有登入用户才能访问，我们只需要在方法上面加上 @RequiresAuthentication 注解即可* 但是这样做有一个缺点，就是不能够对GET,POST等请求进行分别过滤鉴权(因为我们重写了官方的方法)，但实际上对应用影响不大*/@Overrideprotected boolean isAccessAllowed(ServletRequest request, ServletResponse response, Object mappedValue) {log.info("JwtFilter-->>>执行登录认证:init()");//如果请求头不存在token,则可能是执行登陆操作或是游客状态访问,直接返回trueif (!isLoginAttempt(request, response)) {return true;}//如果存在,则进入executeLogin方法执行登入,检查token 是否正确try {executeLogin(request, response);return true;} catch (Exception e) {e.printStackTrace();throw new AuthenticationException("Token失效请重新登录!");}}/*** 重写AuthenticatingFilter的executeLogin方法丶执行登陆操作*/@Overrideprotected boolean executeLogin(ServletRequest request, ServletResponse response) throws Exception {log.info("JwtFilter-->>>executeLogin-Method:init()");HttpServletRequest httpServletRequest = (HttpServletRequest) request;String token = httpServletRequest.getHeader("Authorization");//Access-TokenJwtToken jwtToken = new JwtToken(token);//UsernamePasswordToken usernamePasswordToken = new UsernamePasswordToken(UserCache.getCurrentUser().getTelephone(),UserCache.getCurrentUser().getPassword());// 提交给realm进行登入,如果错误他会抛出异常并被捕获, 反之则代表登入成功,返回truegetSubject(request, response).login(jwtToken);return true;}/*** 对跨域提供支持*/@Overrideprotected boolean preHandle(ServletRequest request, ServletResponse response) throws Exception {HttpServletRequest httpServletRequest = (HttpServletRequest) request;HttpServletResponse httpServletResponse = (HttpServletResponse) response;httpServletResponse.setHeader("Access-control-Allow-Origin", httpServletRequest.getHeader("Origin"));httpServletResponse.setHeader("Access-Control-Allow-Methods", "GET,POST,OPTIONS,PUT,DELETE");httpServletResponse.setHeader("Access-Control-Allow-Headers", httpServletRequest.getHeader("Access-Control-Request-Headers"));// 跨域时会首先发送一个option请求，这里我们给option请求直接返回正常状态if (httpServletRequest.getMethod().equals(RequestMethod.OPTIONS.name())) {httpServletResponse.setStatus(HttpStatus.OK.value());return false;}return super.preHandle(request, response);}}

OK，大功告成
直接测一下

6.使用测试

@ControllerMapping("test")
public class TestController {@PostMapping("test2")@RequiresRoles(value = {"admin","user"},logical = Logical.OR)public String test2(@RequestBody JSONObject object){int a = 1+1;return "SUCCESS";}
}

上面注解中的角色名称是数据库自定义的

注解使用说明： RequiresRoles–>RequiresPermissions–>RequiresAuthentication–>RequiresUser–>RequiresGuest
Note:如果有个多个注解的话，前面的通过了会继续检查后面的，若不通过则直接返回

SpringBoot+jwt+shiro实现登录验证及接口权限校验相关推荐

SpringBoot整合Shiro搭建登录注册认证授权权限项目模板
主要内容: 1 SpringBoot整合Shiro安全框架; 2 Shiro主要学习内容总结;(执行流程.主要对象接口.注意事项等) 3 Redis实现对权限信息缓存; ! 温馨提示: 想要快速搭Sh ...
springboot+jwt+shiro+vue+elementUI+axios+redis+mysql完成一个前后端分离的博客项目（笔记,帮填坑）
根据B站up主MarkerHub视频制作的一个笔记我的博客 B站博主链接: https://www.bilibili.com/video/BV1PQ4y1P7hZ?p=1 博主的开发文档: http ...
SpringBoot整合Shiro实现登录认证和授权CHCache
文章目录一. springboot实现普通登录 1 添加依赖 2 编写配置文件 3 新建实体类和mapper 4 编写业务层代码 5 编写控制器 6 编写启动类 7 编写登录页面和主页面二. sp ...
SpringBoot集成JWT实现Token登录验证
目录 1.1 JWT是什么? 1.2 JWT主要使用场景 1.3 JWT请求流程 1.4 JWT结构二,SpringBoot集成JWT具体实现过程 2.1添加相关依赖 2.2自定义跳出拦截器的注解 ...
SpringBoot+JWT+Shiro+MybatisPlus实现Restful快速开发后端脚手架
点击上方"方志朋",选择"设为星标" 回复"666"获取新整理的面试文章作者:lywJee cnblogs.com/lywJ/p/1125 ...
SpringBoot+JWT+Shiro+MybatisPlus后端脚手架
一.背景前后端分离已经成为互联网项目开发标准,它会为以后的大型分布式架构打下基础.SpringBoot使编码配置部署都变得简单,越来越多的互联网公司已经选择SpringBoot作为微服务的入门级微框 ...
SpringBoot+JWT实现登陆token验证并存储用户信息
基于Token的JWT认证 JWT:Json web token 是为了在网络应用环境间传递声明而执行的一种基于JSON传输格式的开放标准,可实现无状态.分布式的Web应用授权. 缺点:用户主动注销, ...
springboot系列（十）springboot整合shiro实现登录认证
关于shiro的概念和知识本篇不做详细介绍,但是shiro的概念还是需要做做功课的要不无法理解它的运作原理就无法理解使用shiro: 本篇主要讲解如何使用shiro实现登录认证,下篇讲解使用shiro ...
SpringBoot+JWT整合-解决登陆验证问题
SpringBoot2整合JWT 受这篇文章的启发:https://www.jianshu.com/p/e88d3f8151db 自己进一步理解,然后在作者的基础上进一步封装,然后重新整理一下笔记,关 ...

SpringBoot+jwt+shiro实现登录验证及接口权限校验