本人微信公众号"aeolian"~

架构探险笔记12-安全控制框架Shiro

什么是Shiro

Shiro是Apache组织下的一款轻量级Java安全框架。Spring Security相对来说比较臃肿。

官网

Shiro提供的服务

《架构探险笔记12-安全控制框架Shiro》

1.Authentication(认证)

2.Authorization(授权)

3.Session Management(会话管理)

4.Cryptography(加密)

5.Web Integration(web集成)

6.Integrations(集成)

首先,她提供了Authentication(认证)服务,也就是说,通过她可以完成身份认证,让她去判断用户是否为真实的会员。

其次,她还提供了Authorization(授权)服务,其实就是访问控制服务,也就是让她来识别用户是否可以做某件事情,毕竟不同的用户是拥有不同的权限的。

还提供了Session Management(会话管理)服务。这个就厉害了,这并不是用户熟知的HTTP Session,而是一个独立的Session管理框架,不管是否为Web应用,都可以用这套框架。

最后,还提供了Crytography(加密)服务,封装了许多密码学算法,琳琅满目,应有尽有。

除了以上4个基本服务,她也提供了很好的系统集成方案,用户可以轻松将其运用到Web应用中,可能这也是用户最关心的;此外,还可以集成第三方框架,例如:Spring、Guice、CAS等。

Hello Shiro

Maven,在pom.xml加入坐标

        
        <dependency>
            <groupId>org.slf4jgroupId>
            <artifactId>slf4j-log4j12artifactId>
            <version>1.6.4version>
        dependency>
        
        <dependency>
            <groupId>org.apache.shirogroupId>
            <artifactId>shiro-coreartifactId>
            <version>1.2.3version>
        dependency>

Shiro依赖于SLFJ日志框架,而SLFJ只是一个接口,并没有提供具体的实现。可以选择Log4J作为它的实现,正好SLFJ也提供了一个slf4j-log4j12的Artifact,所以这里就可以用上了。

Maven示意图如下:

《架构探险笔记12-安全控制框架Shiro》

使用Log4J,就应该在classpath下提供一个log4j.properties文件:

log4j.rootLogger=ERROR,console,file

log4j.appender.console=org.apache.log4j.ConsoleAppender
log4j.appender.console.layout=org.apache.log4j.PatternLayout
log4j.appender.console.layout.ConversionPattern=%-5p %c(%L) -%m%n
log4j.logger.org.autumn=DEBUG

通过上卖弄的配置将日志输出到控制台上,并配置了日志输出格式。

同样,既然使用了Shiro,那么久应该在classpath下提供一个shiro.ini文件:

[users]
shiro = 1995

我们配置一个用户名为shiro,密码为1995的用户。这里仅为演示,在实际项目中肯定不会把用户信息定义在配置文件中。

测试一下Shiro的认证服务功能,用main方法测试

package org.autumn;

import org.apache.shiro.SecurityUtils;
import org.apache.shiro.authc.AuthenticationException;
import org.apache.shiro.authc.UsernamePasswordToken;
import org.apache.shiro.config.IniSecurityManagerFactory;
import org.apache.shiro.mgt.SecurityManager;
import org.apache.shiro.subject.Subject;
import org.apache.shiro.util.Factory;
import org.slf4j.Logger;
import org.slf4j.LoggerFactory;

/**
 * Created by Administrator on 2019/1/28.
 */
public class HelloShiro {
    private static final Logger LOGGER = LoggerFactory.getLogger(HelloShiro.class);

    public static void main(String[] args) {
        //初始化SecurityManager
        Factory factory = new IniSecurityManagerFactory("classpath:shiro.ini");
        SecurityManager securityManager = factory.getInstance();
        SecurityUtils.setSecurityManager(securityManager);

        //获取当前用户
        Subject subject = SecurityUtils.getSubject();
        //登录
        UsernamePasswordToken token = new UsernamePasswordToken("shiro","19950");
        try {
            subject.login(token);
        }catch (AuthenticationException ae){
            LOGGER.info("登录失败");
            return ;
        }
        LOGGER.info("登录成功!Hello "+subject.getPrincipal());
        subject.logout();
    }
}

结果

《架构探险笔记12-安全控制框架Shiro》

解析:

(1)需要读取classpath下的shiro.ini配置文件,并通过工厂类创建SecurityManager对象,最终将其放入SecurityUtils中,供Shiro框架随时获取。

(2)同样通过SecurityUtils类获取Subject对象,其实就是当前用户,只不过在Shiro的世界里优雅地将其称为Subject(主体);

(3)首先使用一个Username与Password来创建一个UsernamePasswordToken对象,然后通过这个Token对象调用Subject对象的login方法,让Shiro进行用户身份认证。

(4)当登录失败时,可以使用AuthenticationException来捕获这个异常;当登录成功时,可以调用Subject对象的getPrincipal方法来获取Username,此时Shiro已经创建了一个Session。

(5)最后还是通过Subject对象的logout方法来注销本次Session。

通过Subject调用SecurityManager,通过SecurityManager调用Realm。这个Realm感觉有点生僻,其实就是提供用户信息的数据源。上面的Shiro中叫IniRealm。除此以外,Shiro还提供了其他几种Realm:PropertiesRealm、JdbcRealm、JndiLdapRealm、ActiveDirectoryReam等;当然也可以定制Realm来满足业务需求。

不难发现,SecurityManager才是Shiro的真正的核心,只需通过Subject就可以操作SecurityManager,尤其是在Web应用中。

在Web开发中使用Shiro

我们可以直接在Web应用中使用Shiro官方提供的Web模块— shiro-web。

只需要在pom.xml中增加如下配置:

        
        <dependency>
            <groupId>org.apache.shirogroupId>
            <artifactId>shiro-webartifactId>
            <version>1.2.3version>
        dependency>

在web.xml中加入如下配置

xml version="1.0" encoding="UTF-8"?>
<web-app xmlns="http://xmlns.jcp.org/xml/ns/javaee"
         xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance"
         xsi:schemaLocation="http://xmlns.jcp.org/xml/ns/javaee http://xmlns.jcp.org/xml/ns/javaee/web-app_3_1.xsd"
         version="3.1">

    <context-param>
        <param-name>shiroEnvironmentClassparam-name>
        <param-value>org.apache.shiro.web.env.IniWebEnvironmentparam-value>
    context-param>
    <context-param>
        <param-name>shiroConfigLocationsparam-name>
        <param-value>classpath:shiro.iniparam-value>
    context-param>
    
    
    <listener>
        <listener-class>org.apache.shiro.web.env.EnvironmentLoaderListenerlistener-class>
    listener>
    
    <filter>
        <filter-name>ShiroFilterfilter-name>
        <filter-class>org.apache.shiro.web.servlet.ShiroFilterfilter-class>
    filter>
    <filter-mapping>
        <filter-name>ShiroFilterfilter-name>
        
        <url-pattern>/*url-pattern>
    filter-mapping>

web-app>

实际上就是通过EnvironmentLoaderListener这个监听器来初始化SecurityManager,并通过ShiroFilter来完成认证与授权。

可以使用以下数据结构来存放用户机器权限的相关数据,这就是RBAC模型

《架构探险笔记12-安全控制框架Shiro》

然后通过Shiro的JdbcReam来进行认证与授权,只需要在shiro.ini中做如下配置:

[main]
authc.loginUrl = /login    #配置跳转的的URL地址,通过Servlet映射后可定位到login页面

ds = org.apache.commons.dbcp.BasicDataSource   #JDBC数据库配置
ds.driverClassName = com.mysql.jdbc.Driver
ds.url=jdbc:mysql://localhost:3306/bookkeeping
ds.username=root
ds.password=root

jdbcRealm = org.apache.shiro.realm.jdbc.JdbcRealm   #realm为jdbc
#将上面配置的jdbc赋给realm
jdbcRealm.dataSource = $ds
#提供身份认证,即通过username查询password     
jdbcRealm.authenticationQuery = SELECT pwd FROM users where userCode = ?
#基于角色的授权验证(粗粒度),通过username查询role_name
jdbcRealm.userRolesQuery = SELECT sys_role.roleName FROM sys_role,sys_user_role,users WHERE sys_role.roleCode = sys_user_role.roleCode AND sys_user_role.userCode = users.id AND users.userCode = ?
#基于权限的授权验证(粗粒度),通过role_name查询model_name,此时需要开启permissionsLookupEnabled开关,默认是关上的
jdbcRealm.permissionsQuery = SELECT sys_module.moduleName FROM sys_module, sys_role, sys_role_module where sys_module.moduleCode = sys_role_module.moduleCode AND sys_role_module.roleCode = sys_role.roleCode     and sys_role.roleName = ?

jdbcRealm.permissionsLookupEnabled = true
securityManager.realms = $jdbcRealm

[urls]
/=anon   #对于"/"请求(首页)可以匿名访问;
/space/**=authc   #对于以"/space/"开头的请求,均由authc过滤器处理,也就是完成身份认证操作。

还要补充说明的是,在permission表中存放了所有的权限名,实际上是一个权限字符串,推荐使用“资源:操作”这种格式来命名,例如:product:view(查看产品权限)、product:edit(产品编辑权限)、product:delete(产品删除权限)等。

过滤器名称 功能  配置项(及默认值)
anon 确保只有未登录(匿名)的用户发送的请求才能通过
authc 去报只有已认证的用户发送的请求才能通过(若未认证,则跳转到登录页面)

authc.loginUrl = /login.jsp

authc.successUrl = /

authc.usernameParam = username

authc.passwordParam = password

authc.rememerMeParam = rememberMe

authc.failureKeyAttribute = shiroLoginFailure

authcBasic 提供BasicHttp认证功能(在浏览器中弹出一个登录对话框) authcBasic.applicationName = application
logout 接收结束会话的请求 logout.redirectUrl = /
noSessionCreation 提供No Session解决方案(若有Session就会报错)
perms 确保只有拥有特定权限的用户发送的请求才能通过
port 确保只有特定端口的请求才能通过 port = 80
rest 提供REST解决方案(根据REST URL计算权限字符串)
roles 确保只有拥有特定角色的用户发送的请求才能通过
ssl 确保只有HTTPS的请求才能通过
user 确保只有已登录的用户发送的请求才能通过(包括:已认证或已记住)

在index.jsp中判断该用户是游客还是已登录的用户:

<%@ page contentType="text/html;charset=UTF-8" pageEncoding="utf-8" language="java" %>
<%@ taglib prefix="c" uri="http://java.sun.com/jsp/jstl/core" %>
<%@ taglib prefix="fmt" uri="http://java.sun.com/jsp/jstl/fmt" %>
<%@ taglib prefix="shiro" uri="http://shiro.apache.org/tags" %>
<html>
<head>
    <title>首页title>
head>
<body>
    <shiro:guest>
        <p>身份:游客p>
        <a href="/login"/>">登录a>
        <a href="/register"/>">注册a>
    shiro:guest>

    <shiro:user>
        <p>身份:<shiro:principal/>p>
        <a href="/space"/>">空间a>
        <a href="/logout"/>">退出a>
    shiro:user>
body>
html>

需要使用Shiro提供的JSP标签:

<%@ taglib prefix="shiro" uri="http://shiro.apache.org/tags" %>

随后就可以使用shiro标签的相关功能了。

标签 功能
判断当前用户是否为游客

判断当前用户是否已登录

(包括认证或已认证)

判断当前用户是否已认证通过(不包括已记住)
判断当前用户是否未认证通过
判断当前用户是否具有某种角色
判断当前用户是否缺少某种角色
判断当前用户是否具有任意一种角色(foo或bar)
判断当前用户是否具有某种权限
判断当前用户是否缺少某种权限
获取当前用户的相关信息,例如:用户名

依葫芦画瓢,可以实现其他需要的shiro标签

除了JSP标签,Shiro还提供了Java注解,只需将这些注解定义在想要安全控制的方法上即可。

注解 功能
RequiresGuest 确保被标注的方法可被匿名用户访问
RequiresUser 确保被标注的方法只能被已登录的用户访问(包括:已认证或已记住)
RequiresAuthentication 确保被标注的方法只能被已认证的用户访问(不包括已记住)
RequiresRoles  确保被标注的方法仅被指定角色的用户访问 
RequiresPermissions 确保被标注的方法仅被指定权限的用户访问

 注意:当使用了RequiresRoles与RequiresPermissions注解,也就意味着把代码写死了;这样如果数据库里的Role或Permission更改了,代码也就无效了。这或许是Shiro的一点不完美的地方,不过瑕不掩瑜。

每次认证与授权都需要与数据库打交道,这会对性能产生一定的开销:关于这一点Shiro也为我们先到了,只需在main片段中增加如下配置即可:

cacheManager=org.apache.shiro.cache.MemoryConstrainedCacheManager
securityManager.cacheManager=$cacheManager

此时Shiro就会在内存中使用一个Map来缓存查询结果,从而减少了数据库的操作次数,提高了查询方面的性能。Shiro也提供了E和Cache的扩展,为缓存提供了更加“高大上”的解决方案。

目前在数据库里保存的是明文的密码,这样不太安全,如何将其加密呢?Shiro同样提供了非常优雅的解决方案,只需在[amin]片段下增加如下配置即可:

passwordMatcher = org.apache.shiro.authc.credential.PasswordMatcher
jdbcRealm.credentialsMatcher=$passwordMatcher

其实,Shiro对密码的加密与解密提供了非常强大的支持,这里仅仅是一种最简单的情况。需要确保在创建密码的时候使用对应的加密算法,Shiro给我们提供了PasswordService接口,可以这样来使用:

PasswordService passwordService = new DefaultPasswordService();
String encryptedPassword = passwordService.encryptPassword(plantextPassword);

只需将这个encryptedPassword存入数据库即可。

其实关于Shiro的用法还有很多,我们可以从Shrio的官网上学到更多的特性,包括集成EhCache、集成Spring、集成CAS等。

最后结果如下

《架构探险笔记12-安全控制框架Shiro》

点赞

Leave a Reply

Your email address will not be published. Required fields are marked *