Shiro完整教程, 附带各种配置

1.1 简介:可以略过

Apache Shiro 是 Java 的一个安全（权限）框架。
Shiro 可以非常容易的开发出足够好的应用，其不仅可以用在 JavaSE 环境，也可以用在 JavaEE 环境。
Shiro 可以完成：认证、授权、加密、会话管理、与Web 集成、缓存等。
下载：http://shiro.apache.org/
对比Spring Security，可能没有Spring Security做的功能强大，但是在实际工作时可能并不需要那么复杂的东西，所以使用小而简单的Shiro就足够了。

1.2 架构

Shiro可以非常容易的开发出足够好的应用，其不仅可以用在JavaSE环境，也可以用在JavaEE环境。Shiro可以帮助我们完成：认证、授权、加密、会话管理、与Web集成、缓存等。这不就是我们想要的嘛，而且Shiro的API也是非常简单；其基本功能点如下图所示：

Authentication：身份认证/登录，验证用户是不是拥有相应的身份,例如账号密码登陆；

Authorization：授权，即权限验证，验证某个已认证的用户是否拥有某个权限；即判断用户是否能做事情，常见的如：验证某个用户是否拥有某个角色。或者细粒度的验证某个用户对某个资源是否具有某个权限；

Session Manager：会话管理，即用户登录后就是一次会话，在没有退出之前，它的所有信息都在会话中；会话可以是普通JavaSE环境的，也可以是如Web环境的；

Cryptography：加密，保护数据的安全性，如密码加密存储到数据库，而不是明文存储；

Web Support：Web支持，可以非常容易的集成到Web环境；

Caching：缓存，比如用户登录后，其用户信息、拥有的角色/权限不必每次去查，这样可以提高效率；

Concurrency：shiro支持多线程应用的并发验证，即如在一个线程中开启另一个线程，能把权限自动传播过去；

Testing：提供测试支持；

Run As：允许一个用户假装为另一个用户（如果他们允许）的身份进行访问；

Remember Me：记住我，这个是非常常见的功能，即一次登录后，下次再来的话不用登录了。

记住一点，Shiro不会去维护用户、维护权限；这些需要我们自己去设计/提供；然后通过相应的接口注入给Shiro即可。

接下来我们分别从外部和内部来看看Shiro的架构，对于一个好的框架，从外部来看应该具有非常简单易于使用的API，且API契约明确；从内部来看的话，其应该有一个可扩展的架构，即非常容易插入用户自定义实现，因为任何框架都不能满足所有需求。

首先，我们从外部来看Shiro吧，即从应用程序角度的来观察如何使用Shiro完成工作。如下图：

可以看到：应用代码直接交互的对象是Subject，也就是说Shiro的对外API核心就是Subject；其每个API的含义：

Subject：主体，应用代码直接交互的对象是 Subject，也就是说 Shiro 的对外 API 核心就是 Subject , 代表了当前“用户”，这个用户不一定是一个具体的人，与当前应用交互的任何东西都是Subject，如网络爬虫，机器人等；即一个抽象概念；所有Subject都绑定到SecurityManager，与Subject的所有交互都会委托给SecurityManager；可以把Subject认为是一个门面；SecurityManager才是实际的执行者；

SecurityManager：安全管理器；即所有与安全有关的操作都会与SecurityManager交互；且它管理着所有Subject；可以看出它是Shiro的核心，它负责与后边介绍的其他组件进行交互，如果学习过SpringMVC，你可以把它看成DispatcherServlet前端控制器；

Realm：域，Shiro从从Realm获取安全数据（如用户、角色、权限），就是说SecurityManager要验证用户身份，那么它需要从Realm获取相应的用户进行比较以确定用户身份是否合法；也需要从Realm得到用户相应的角色/权限进行验证用户是否能进行操作；可以把Realm看成DataSource，即安全数据源。

也就是说对于我们而言，最简单的一个Shiro应用：

1、应用代码通过Subject来进行认证和授权，而Subject又委托给SecurityManager；

2、我们需要给Shiro的SecurityManager注入Realm，从而让SecurityManager能得到合法的用户及其权限进行判断。

从以上也可以看出，Shiro不提供维护用户/权限，而是通过Realm让开发人员自己注入。

接下来我们来从Shiro内部来看下Shiro的架构，如下图所示：

Subject：主体，可以看到主体可以是任何可以与应用交互的“用户”；

SecurityManager：相当于SpringMVC中的DispatcherServlet或者Struts2中的FilterDispatcher；是Shiro的心脏；所有具体的交互都通过SecurityManager进行控制；它管理着所有Subject、且负责进行认证和授权、及会话、缓存的管理。

Authenticator：认证器，负责主体认证的，这是一个扩展点，如果用户觉得Shiro默认的不好，可以自定义实现；其需要认证策略（Authentication Strategy），即什么情况下算用户认证通过了；

Authrizer：授权器，或者访问控制器，用来决定主体是否有权限进行相应的操作；即控制着用户能访问应用中的哪些功能；

Realm：可以有1个或多个Realm，可以认为是安全实体数据源，即用于获取安全实体的；可以是JDBC实现，也可以是LDAP实现，或者内存实现等等；由用户提供；注意：Shiro不知道你的用户/权限存储在哪及以何种格式存储；所以我们一般在应用中都需要实现自己的Realm；

SessionManager：如果写过Servlet就应该知道Session的概念，Session呢需要有人去管理它的生命周期，这个组件就是SessionManager；而Shiro并不仅仅可以用在Web环境，也可以用在如普通的JavaSE环境、EJB等环境；所有呢，Shiro就抽象了一个自己的Session来管理主体与应用之间交互的数据；这样的话，比如我们在Web环境用，刚开始是一台Web服务器；接着又上了台EJB服务器；这时想把两台服务器的会话数据放到一个地方，这个时候就可以实现自己的分布式会话（如把数据放到Memcached服务器）；

SessionDAO：DAO大家都用过，数据访问对象，用于会话的CRUD，比如我们想把Session保存到数据库，那么可以实现自己的SessionDAO，通过如JDBC写到数据库；比如想把Session放到Memcached中，可以实现自己的Memcached SessionDAO；另外SessionDAO中可以使用Cache进行缓存，以提高性能；

CacheManager：缓存控制器，来管理如用户、角色、权限等的缓存的；因为这些数据基本上很少去改变，放到缓存中后可以提高访问的性能

Cryptography：密码模块，Shiro提高了一些常见的加密组件用于如密码加密/解密的。

到此Shiro架构及其组件就认识完了，接下来挨着学习Shiro的组件吧。

2.1 过滤器

当 Shiro 被运用到 web 项目时，Shiro 会自动创建一些默认的过滤器对客户端请求进行过滤。比如身份验证、授权等相关的。默认拦截器可以参考 org.apache.shiro.web.filter.mgt.DefaultFilter中的枚举拦截器：

以下是 Shiro 提供的过滤器：

过滤器简称	对应的 Java 类
anon	org.apache.shiro.web.filter.authc.AnonymousFilter
authc	org.apache.shiro.web.filter.authc.FormAuthenticationFilter
authcBasic	org.apache.shiro.web.filter.authc.BasicHttpAuthenticationFilter
perms	org.apache.shiro.web.filter.authz.PermissionsAuthorizationFilter
port	org.apache.shiro.web.filter.authz.PortFilter
rest	org.apache.shiro.web.filter.authz.HttpMethodPermissionFilter
roles	org.apache.shiro.web.filter.authz.RolesAuthorizationFilter
ssl	org.apache.shiro.web.filter.authz.SslFilter
user	org.apache.shiro.web.filter.authc.UserFilter
logout	org.apache.shiro.web.filter.authc.LogoutFilter
noSessionCreation	org.apache.shiro.web.filter.session.NoSessionCreationFilter

解释：

/admins/**=anon # 表示该 uri 可以匿名访问
/admins/**=auth # 表示该 uri 需要认证才能访问
/admins/**=authcBasic # 表示该 uri 需要 httpBasic 认证
/admins/**=perms[user:add:*] # 表示该 uri 需要认证用户拥有 user:add:* 权限才能访问
/admins/**=port[8081] # 表示该 uri 需要使用 8081 端口
/admins/**=rest[user] # 相当于 /admins/**=perms[user:method]，其中，method 表示 get、post、delete 等
/admins/**=roles[admin] # 表示该 uri 需要认证用户拥有 admin 角色才能访问
/admins/**=ssl # 表示该 uri 需要使用 https 协议
/admins/**=user # 表示该 uri 需要认证或通过记住我认证才能访问
/logout=logout # 表示注销,可以当作固定配置

注意：

anon，authcBasic，auchc，user 是认证过滤器。

perms，roles，ssl，rest，port 是授权过滤器。

前面的地址支持Ant风格

2.2 Shiro认证过程中可以用的异常

Subject subject = SecurityUtils.getSubject();
if(!subject.isAuthenticated()){UsernamePasswordToken usernamePasswordToken = new UsernamePasswordToken(userName,password);usernamePasswordToken.setRememberMe(true);try{subject.login(usernamePasswordToken);}catch (UnknownAccountException e){System.out.print("账户不存在:"+e.getMessage());}catch (LockedAccountException e){System.out.print("账户被锁定:"+e.getMessage());}catch (IncorrectCredentialsException e){System.out.print("密码不匹配:"+e.getMessage());}
}

异常的体系

3.1 添加依赖

<dependency><groupId>org.apache.shiro</groupId><artifactId>shiro-core</artifactId><version>1.4.0</version>
</dependency>

3.2 相关配置:

3.2.1 配置Realm及多Realm的认证策略

/***
* 配置Realm
* */
@Bean
Realm userRealm() {TestRealm userRealm = new TestRealm();return userRealm;
}
/**** 测试realm* @return*/
@Bean
Realm testRealm() {return new TestRealm();
}/*** 多Realm认证策略* @return*/
@Bean
Authenticator authenticator() {ModularRealmAuthenticator modularRealmAuthenticator = new ModularRealmAuthenticator();//使用一个通过验证即可通过验证的方式modularRealmAuthenticator.setAuthenticationStrategy(atLeastOneSuccessfulStrategy());return modularRealmAuthenticator;
}
/*** 多使用所有reaml均通过才算认证通过作为策略* @return*/
@Bean
AuthenticationStrategy allSuccessfulStrategy() {AllSuccessfulStrategy allSuccessfulStrategy = new AllSuccessfulStrategy();return allSuccessfulStrategy;
}
/*** 多使用所有reaml一个通过就算认证通过作为策略* @return*/
@Bean
AuthenticationStrategy atLeastOneSuccessfulStrategy() {AtLeastOneSuccessfulStrategy atLeastOneSuccessfulStrategy = new AtLeastOneSuccessfulStrategy();return atLeastOneSuccessfulStrategy;
}

3.2.2 配置Cache

需要加入ehcache的jar包及配置文件

@Bean
public EhCacheManager ehCacheManager() {EhCacheManager em = new EhCacheManager();em.setCacheManager(cacheManager());em.setCacheManagerConfigFile("classpath: ehcach.xml");return em;
}@Bean("cacheManager2")
CacheManager cacheManager(){return CacheManager.create();
}

3.2.3 配置securityManager

/**** 配置securityManager* @return*/
@Bean
public SecurityManager securityManager() {DefaultWebSecurityManager securityManager = new DefaultWebSecurityManager();//设置单个realm.securityManager.setRealm(userRealm());//设置多个realm 授权验证时 只要一个通过就可以List<Realm> realms = new ArrayList<>();realms.add(userRealm());realms.add(userRealm());securityManager.setRealms(realms);// 自定义缓存实现 使用redis
//        if (Constant.CACHE_TYPE_REDIS.equals(cacheType)) {
//            securityManager.setCacheManager(rediscacheManager());
//        } else {securityManager.setCacheManager(ehCacheManager());//}//securityManager.setSessionManager(sessionManager());//多Reaml的认证策略securityManager.setAuthenticator(authenticator());return securityManager;
}

3.2.4 配置shiroFilterFactoryBean 其实就是Filter的规则

/****  配置shiroFilterFactoryBean*  配置基本的过滤规则* @param securityManager* @return*/
@Bean
ShiroFilterFactoryBean shiroFilterFactoryBean(SecurityManager securityManager) {ShiroFilterFactoryBean shiroFilterFactoryBean = new ShiroFilterFactoryBean();//配置管理器shiroFilterFactoryBean.setSecurityManager(securityManager);//配置登陆\登陆成功页面\登陆失败页面shiroFilterFactoryBean.setLoginUrl("/login.html");shiroFilterFactoryBean.setSuccessUrl("/index.html");shiroFilterFactoryBean.setUnauthorizedUrl("/403.html");//配置基本的策略规则,那些可以直接访问  那些需要权限  按照顺序,先配置的起作用//支持Ant风格 LinkedHashMap<String, String> filterChainDefinitionMap = new LinkedHashMap<>();filterChainDefinitionMap.put("/login.html","anon");filterChainDefinitionMap.put("**/login/**","anon");filterChainDefinitionMap.put("/css/**", "anon");filterChainDefinitionMap.put("/js/**", "anon");filterChainDefinitionMap.put("/fonts/**", "anon");filterChainDefinitionMap.put("/img/**", "anon");filterChainDefinitionMap.put("/docs/**", "anon");filterChainDefinitionMap.put("/druid/**", "anon");filterChainDefinitionMap.put("/upload/**", "anon");filterChainDefinitionMap.put("/files/**", "anon");//配置注销的URLfilterChainDefinitionMap.put("/logout", "logout");//filterChainDefinitionMap.put("/**", "authc");shiroFilterFactoryBean.setFilterChainDefinitionMap(filterChainDefinitionMap);return shiroFilterFactoryBean;
}

4 . 以上为配置: 接下来实际进行验证

4.1 身份认证代码流程:

• 1、首先调用 Subject.login(token) 进行登录，其会自动委托给 SecurityManager

• 2、SecurityManager 负责真正的身份验证逻辑；它会委托给 Authenticator 进行身份验证；

• 3、Authenticator 才是真正的身份验证者，Shiro API 中核心的身份认证入口点，此处可以自定义插入自己的实现；

• 4、Authenticator 可能会委托给相应的 AuthenticationStrategy 进行多 Realm 身份验证，默认 ModularRealmAuthenticator 会调用 AuthenticationStrategy 进行多 Realm 身份验证；

• 5、Authenticator 会把相应的 token 传入 Realm，从 Realm 获取身份验证信息，如果没有返回/抛出异常表示身份验证失败了。此处可以配置多个Realm，将按照相应的顺序及策略进行访问。

4.2 实现流程思路:

4.3 实现代码示例

5. Realm的认证和授权

5.1 具体代码, 来个例子,看相关注释: Cope 可用


public class TestRealm extends AuthorizingRealm {@Overrideprotected AuthenticationInfo doGetAuthenticationInfo(AuthenticationToken authenticationToken) throws AuthenticationException {//关于JWT的考虑,密码登陆还是要的,但是要多个Reamle同时用,UsernamePasswordToken usernamePasswordToken = (UsernamePasswordToken)authenticationToken;String username = usernamePasswordToken.getUsername();System.out.print("根据username查询yoghurt");if("none".equals(username)){throw new UnknownAccountException("用户不存在");}//认证的实体信息, 可以放对象,以后可以随时取出来用,  JSP标签也可以直接去这个对象Object principal = username;//数据库中获取的密码Object credentials = "1234567";//封装一个带数据的对象,Shiro会拿这个对象和传进来的Token的密码进行对比,验证是否登录成功SimpleAuthenticationInfo simpleAuthenticationInfo = new SimpleAuthenticationInfo(principal, credentials, getName());return simpleAuthenticationInfo;}//这个方法是用来授权的//查询登陆人是否有权限时就查询这个  如果设置了缓存,只会查一次@Overrideprotected AuthorizationInfo doGetAuthorizationInfo(PrincipalCollection principalCollection) {//这个里面取的就是登陆认证时SimpleAuthenticationInfo info = new SimpleAuthenticationInfo(username, password, getName());的第一个参数Object user = principalCollection.getPrimaryPrincipal();//将其转为自己的用户,在从数据库获取到这个用户的角色  权限//MenuService menuService = ApplicationContextRegister.getBean(MenuService.class);//这里只查询了权限//Set<String> perms = menuService.listPerms(userId);SimpleAuthorizationInfo info = new SimpleAuthorizationInfo();//放进去即可//info.setStringPermissions(perms);return info;}
}

5.2 多Realm认证策略: AuthenticationStrategy

• AuthenticationStrategy 接口的默认实现：

• FirstSuccessfulStrategy：只要有一个 Realm 验证成功即可，只返回第一个 Realm 身份验证成功的认证信息，其他的忽略；

• AtLeastOneSuccessfulStrategy：只要有一个Realm验证成功即可，和 FirstSuccessfulStrategy 不同，将返回所有Realm身份验证成功的认证信息；

• AllSuccessfulStrategy：所有Realm验证成功才算成功，且返回所有 Realm身份验证成功的认证信息，如果有一个失败就失败了。 • ModularRealmAuthenticator 默认是 AtLeastOneSuccessfulStrategy 策略

上面的代码有具体的实现

6. 代码使用权限的方式:

6.2 权限的规则规定:

6.3 JSP 的标签:

来一个比较常用的:

6.4 JAVA的相关注解

开启注解:

/**** * 开启生命周期, 可以自定义的来调用配置SPring-ioc 容器中shiro bean 的生命周期方法* 尚未研究怎么自定义* @return*/
@Bean
public static LifecycleBeanPostProcessor getLifecycleBeanPostProcessor() {return new LifecycleBeanPostProcessor();
}/*** 开启shiro aop注解支持.* 使用代理方式;所以需要开启代码支持;* 要开启代码支持必须开启上面的生命周期* @param securityManager* @return*/
@Bean
public AuthorizationAttributeSourceAdvisor authorizationAttributeSourceAdvisor(SecurityManager securityManager) {AuthorizationAttributeSourceAdvisor authorizationAttributeSourceAdvisor = new AuthorizationAttributeSourceAdvisor();authorizationAttributeSourceAdvisor.setSecurityManager(securityManager);return authorizationAttributeSourceAdvisor;
}

可以用在Controller或者Service层上,但是如果Serivce上加了事务的注解,就不能再加这个了,原因是不是事务产生代理了,不能是代理的代理

7. 盐值加密:

这里举个例子: 使用Shiro的验证还不如自己进行验证, 上一个使用用户名最为盐值, 对字符串使用1024次加密的用例;

8. 缓存

8.1授权缓存:

Shiro 内部相应的组件（DefaultSecurityManager）会自动检测相应的对象（如Realm）是否实现了 CacheManagerAware 并自动注入相应的 CacheManager。
Shiro 提供了 CachingRealm，其实现了 CacheManagerAware 接口，提供了缓存的一些基础实现；
AuthenticatingRealm 及 AuthorizingRealm 也分别提供了对AuthenticationInfo 和 AuthorizationInfo 信息的缓存。所以默认是启用了缓存的

8.2 Session缓存:

如 SecurityManager 实现了 SessionSecurityManager，其会判断 SessionManager 是否实现了 CacheManagerAware 接口，如果实现了会把 CacheManager 设置给它。

• SessionManager 也会判断相应的 SessionDAO（如继承自CachingSessionDAO）是否实现了 CacheManagerAware，如果实现了会把 CacheManager 设置给它

• 设置了缓存的 SessionManager，查询时会先查缓存，如果找不到才查数据库。

9. Session的会话管理:

Shiro 提供了完整的企业级会话管理功能，不依赖于底层容器（如web容器tomcat），不管 JavaSE 还是 JavaEE 环境都可以使用，提供了会话管理、会话事件监听、会话存储/ 持久化、容器无关的集群、失效/过期支持、对Web 的透明支持、SSO 单点登录的支持等特性。

和HttpSession互通, 但你可以在任何层级获取到Session

9.1 会话相关的 API

• Subject.getSession()：即可获取会话；其等价于 Subject.getSession(true)，即如果当前没有创建 Session 对象会创建一个；Subject.getSession(false)，如果当前没有创建 Session 则返回 null

• session.getId()：获取当前会话的唯一标识

• session.getHost()：获取当前Subject的主机地址

• session.getTimeout() & session.setTimeout(毫秒)：获取/设置当前Session的过期时间

• session.getStartTimestamp() & session.getLastAccessTime()：获取会话的启动时间及最后访问时间；如果是 JavaSE 应用需要自己定期调用 session.touch() 去更新最后访问时间；如果是 Web 应用，每次进入 ShiroFilter 都会自动调用 session.touch() 来更新最后访问时间。
• session.touch() & session.stop()：更新会话最后访问时间及销毁会话；当Subject.logout()时会自动调用 stop 方法来销毁会话。如果在web中，调用 HttpSession. invalidate() 也会自动调用Shiro Session.stop 方法进行销毁Shiro 的会话

• session.setAttribute(key, val) & session.getAttribute(key) & session.removeAttribute(key)：设置/获取/删除会话属性；在整个会话范围内都可以对这些属性进行操作

9.2 会话的监听器:

会话监听器用于监听会话创建、过期及停止事件

9.3 关于SessionDao:

具体的一个体系: 可以实现最后的EnterpriseCacheSessionDao

来一个示例,有需要自己配

10 . RememberMe:

Shiro 提供了记住我（RememberMe）的功能，比如访问如淘宝等一些网站时，关闭了浏览器，下次再打开时还是能记住你是谁，下次访问时无需再登录即可访问，基本流程如下：

• 1、首先在登录页面选中 RememberMe 然后登录成功；如果是浏览器登录，一般会把 RememberMe 的Cookie 写到客户端并保存下来；

• 2、关闭浏览器再重新打开；会发现浏览器还是记住你的；

• 3、访问一般的网页服务器端还是知道你是谁，且能正常访问；

• 4、但是比如我们访问淘宝时，如果要查看我的订单或进行支付时，此时还是需要再进行身份认证的，以确保当前用户还是你。

subject.isAuthenticated() 表示用户进行了身份验证登录的，即使有 Subject.login 进行了登录； • subject.isRemembered()：表示用户是通过记住我登录的，此时可能并不是真正的你（如你的朋友使用你的电脑，或者你的cookie 被窃取）在访问的 • 两者二选一，即 subject.isAuthenticated()==true，则 subject.isRemembered()==false；反之一样。

实现:

如果要自己做RememeberMe，需要在登录之前这样创建Token： UsernamePasswordToken(用户名，密码，是否记住我)，且调用 UsernamePasswordToken 的：token.setRememberMe(true); 方法

建议:

访问一般网页：如个人在主页之类的，我们使用user 拦截器即可，user 拦截器只要用户登录 (isRemembered() || isAuthenticated())过即可访问成功； • 访问特殊网页：如我的订单，提交订单页面，我们使用 authc 拦截器即可，authc 拦截器会判断用户是否是通过 Subject.login（isAuthenticated()==true）登录的，如果是才放行，否则会跳转到登录页面叫你重新登录。

11. 会话验证调度器

最后Shiro 提供了会话验证调度器，用于定期的验证会话是否已过期，如果过期将停止会话 • 出于性能考虑，一般情况下都是获取会话时来验证会话是否过期并停止会话的；但是如在 web 环境中，如果用户不主动退出是不知道会话是否过期的，因此需要定期的检测会话是否过期，Shiro 提供了会话验证调度器 SessionValidationScheduler • Shiro 也提供了使用Quartz会话验证调度器： QuartzSessionValidationScheduler