ApacheShiro 思维导图模板_ProcessOn思维导图、流程图

一、权限的管理

定义

基本上涉及到用户参与的系统都要进行权限管理，权限管理属于系统安全的范畴，权限管理实现对用户访问系统的控制，按照安全规则或者安全策略控制用户可以访问而且只能访问自己被授权的资源。

权限管理包括用户身份认证和授权两部分，简称认证授权。对于需要访问控制的资源用户首先经过身份认证，认证通过后用户具有该资源的访问权限方可访问。

组成

用户身份认证(Authenti)

身份认证，就是判断一个用户是否为合法用户的处理过程。最常用的简单身份认证方式是系统通过核对用户输入的用户名和口令，看其是否与系统中存储的该用户的用户名和口令一致，来判断用户身份是否正确。对于采用指纹等系统，则出示指纹；对于硬件Key等刷卡系统，则需要刷卡。

用户授权(Authorize)

授权，即访问控制，控制谁能访问哪些资源。主体进行身份认证后需要分配权限方可访问系统的资源，对于某些资源没有权限是无法访问的

二、什么是Shiro

定义

Apache Shiro™是一个功能强大且易于使用的Java安全框架，可执行身份验证，授权，加密和会话管理。借助 Shiro 易于理解的 API，您可以快速轻松地保护任何应用程序 - 从最小的移动应用程序到最大的 Web 和企业应用程序。

配置文件

.ini结尾文件

三、核心架构

Subject

Subject即主体，外部应用与subject进行交互，subject记录了当前操作用户，将用户的概念理解为当前操作的主体，可能是一个通过浏览器请求的用户，也可能是一个运行的程序。

Subject在shiro中是一个接口，接口中定义了很多认证授相关的方法，外部程序通过subject进行认证授，而subject是通过SecurityManager安全管理器进行认证授权

SecurityManager

SecurityManager即安全管理器，对全部的subject进行安全管理，它是shiro的核心，负责对所有的subject进行安全管理。通过SecurityManager可以完成subject的认证、授权等，实质上SecurityManager是通过Authenticator进行认证，通过Authorizer进行授权，通过SessionManager进行会话管理等。

SecurityManager是一个接口，继承了Authenticator, Authorizer, SessionManager这三个接口。

Authenticator

Authenticator即认证器，对用户身份进行认证，Authenticator是一个接口，shiro提供ModularRealmAuthenticator实现类，通过ModularRealmAuthenticator基本上可以满足大多数需求，也可以自定义认证器。

Authorizer

Authorizer即授权器，用户通过认证器认证通过，在访问功能时需要通过授权器判断用户是否有此功能的操作权限。

Realm

Realm即领域，相当于datasource数据源，securityManager进行安全认证需要通过Realm获取用户权限数据，比如：如果用户身份数据在数据库那么realm就需要从数据库获取用户身份信息。

注意：不要把realm理解成只是从数据源取数据，在realm中还有认证授权校验的相关的代码。

AuthenticatingRealm 认证realm doGetAuthenticationInfo

AuthorizingRealm 授权realm doGetAuthorizationInfo

SessionManager

sessionManager即会话管理，shiro框架定义了一套会话管理，它不依赖web容器的session，所以shiro可以使用在非web应用上，也可以将分布式应用的会话集中在一点管理，此特性可使它实现单点登录。

SessionDAO

SessionDAO即会话dao，是对session会话操作的一套接口，比如要将session存储到数据库，可以通过jdbc将会话存储到数据库

CacheManager

CacheManager即缓存管理，将用户权限数据存储在缓存，这样可以提高性能。

Cryptography

Cryptography即密码管理，shiro提供了一套加密/解密的组件，方便开发。比如提供常用的散列、加/解密等功能。

四、Shiro中的认证

shiro中认证的关键对象

subject：主体

访问系统的用户，主体可以是用户、程序等，进行认证的都称为主体

principal：身份信息

是主体进行身份认证的标识，如用户名、手机号、邮箱地址等。
一个主体可以有多个身份，但是必须有一个主身份。

credential：凭证信息

是只有主体自己知道的安全信息，如密码、证书等。

1、最终完成用户名比较：SimpleAccountRealm中的doGetAuthenticationInfo方法完成用户名的校验

2、最终密码校验是在：AuthenticatingReaml中assertCredentialsMatch

MD5

作用

加密

签名(校验和)

特点

MD5算法不可逆

如果内容相同无论执行多少次md5生成结果始终一致

生成结果：始终是一个16进制，32位长度字符串

Salt+MD5

加盐的话做到相对安全

五、Shiro中的授权

简单理解：who对what做how操作

who:subject主体

主体需要访问权限

what：resource资源

如系统菜单、页面、按钮、类方法、系统商品信息等

资源

资源类型

例：商品信息

资源实例

例：类型为a01/编号为001的商品为资源实例

how：permission权限/许可

规定了主体对资源的操作许可，权限离开资源没意义，通过权限可知主体对哪些资源都有哪些操作许可

例：用户查询权限、添加权限、某个类方法的调用权限、编号为001用户的修改权限等

授权方式

基于角色的访问控制

RBAC基于角色的访问控制(Role-Based Access Control)是以角色为中心进行访问控制

if(subject.hasRole("admin")){
//操作什么资源
}

基于资源的访问控制

RBAC基于资源的访问控制(Resource-Based Access Control)是以资源为中心进行访问控制

权限字符串规则

"资源标识符：操作：资源实例标识符"，意思是对哪个实例具有什么操作，
":"是资源/操作/实例的分割符，权限字符串也可以使用"通配符"

例：
用户创建权限：user:create,或user:create:*
用户修改实例001的权限：user:update:001
用户实例001的所有权限：user:*:001

if(subject.isPermission("user:update:01")){//资源实例
//对01用户进行修改
}
if(subject.isPermission("user:update:*")){//资源类型

}

授权编程实现方式

编程式

Subject subject=SecurityUtils.getSubject();
if(subject.hasRole("admin")){
//有权限
}else{
//无权限
}

注解式

@RequiresRoles("admin")
public void hello(){
//有权限
}

@RequiresRoles

用来判断角色具有admin

@RequiresPermissions

用来判断权限字符串

标签式

在JSP/GSP页面通过相应的标签完成
<shiro:hasRole name="admin">

</shiro:hasRole>
注：Thymeleaf中使用shiro需要额外集成

<%@taglib prefix="shiro" uri="http://shiro.apache.org/tags" %>

<shiro:hasAnyRoles name="user,admin">

<shiro:hasPermission name="user:add:*">

六：SpringBoot整合Shiro

原来不加Shiro

用户登录—>SpringBoot应用

index.jsp

受限资源

login.jsp

公共资源

加Shiro

数据库设计

1用户<==>n角色<==>n权限<==>n资源

MD5+Salt注册和认证功能

核心依赖

<dependency>
<groupId>org.apache.shiro</groupId>
<artifactId>shiro-spring</artifactId>
<version>1.3.0</version>
</dependency>

添加ShiroConfig配置类

ShiroFilter

//1、创建shiroFilter
    @Bean
    public ShiroFilterFactoryBean getShiroFilterFactoryBean(DefaultSecurityManager defaultSecurityManager) {
        ShiroFilterFactoryBean shiroFilterFactoryBean = new ShiroFilterFactoryBean();
        //给filter设置安全管理器
        shiroFilterFactoryBean.setSecurityManager(defaultSecurityManager);

        //配置系统受限资源
        //配置系统公共资源
        Map<String, String> map = new HashMap<>();
//        map.put("/index.jsp", "authc");  //authc：请求这个资源需要认证和授权
        map.put("/user/login", "anon");   //anon：设置为公共资源
        map.put("/user/register", "anon");
        map.put("/register.jsp","anon");
        map.put("/**", "authc"); //使用通配符**，表示除login以外所有页面都需要认证授权
        //默认认证界面路径("login.jsp"可省略)
        shiroFilterFactoryBean.setLoginUrl("/login.jsp");

        shiroFilterFactoryBean.setFilterChainDefinitionMap(map);
        return shiroFilterFactoryBean;
    }

SecurityManager

//2、创建安全管理器
    @Bean
    public DefaultWebSecurityManager getDefaultSecurityManager(Realm realm) {
        DefaultWebSecurityManager securityManager = new DefaultWebSecurityManager();
        //给安全管理器设置realm
        securityManager.setRealm(realm);
        return securityManager;
    }

Realm

//3、创建自定义realm
    @Bean
    public Realm getRealm() {
        CustomRealm customRealm = new CustomRealm();
        //修改凭证校验匹配器
        HashedCredentialsMatcher credentialsMatcher = new HashedCredentialsMatcher();
        //设置加密算法为MD5
        credentialsMatcher.setHashAlgorithmName("MD5");
        //设置散列次数
        credentialsMatcher.setHashIterations(1024);
        customRealm.setCredentialsMatcher(credentialsMatcher);
        return customRealm;
    }

在工厂中获取service对象

@Component
public class ApplicationContextUtils implements ApplicationContextAware {
    private static ApplicationContext context;
    @Override
    public void setApplicationContext(ApplicationContext applicationContext) throws BeansException {
        this.context = applicationContext;
    }
    //根据bean名字获取工厂中指定bean对象
    public static Object getBean(String beanName) {
        return context.getBean(beanName);
    }
}

//自定义realm
public class CustomRealm extends AuthorizingRealm {
    @Override
    protected AuthorizationInfo doGetAuthorizationInfo(PrincipalCollection principalCollection) {
        return null;
    }
    @Override
    protected AuthenticationInfo doGetAuthenticationInfo(AuthenticationToken authenticationToken) throws AuthenticationException {
        //根据身份对象
        String principal = (String) authenticationToken.getPrincipal();
        //在工厂中获取service对象
        UserService userService = (UserService) ApplicationContextUtils.getBean("userService");
//        if ("kx".equals(principal)) {
//            return new SimpleAuthenticationInfo(principal, "123", this.getName());
//        }
        User user = userService.findByUserName(principal);
        if (!ObjectUtils.isEmpty(user)) {    //等价于if(user!=null)
            return new SimpleAuthenticationInfo(user.getUsername(), user.getPassword(), ByteSource.Util.bytes(user.getSalt()), this.getName());
        }
        return null;
    }
}

添加自定义Realm

//自定义realm
public class CustomRealm extends AuthorizingRealm {
    @Override
    protected AuthorizationInfo doGetAuthorizationInfo(PrincipalCollection principalCollection) {
        return null;
    }

    @Override
    protected AuthenticationInfo doGetAuthenticationInfo(AuthenticationToken authenticationToken) throws AuthenticationException {
        System.out.println("==============");
        String principal = (String) authenticationToken.getPrincipal();
        if ("kx".equals(principal)) {
            return new SimpleAuthenticationInfo(principal, "123", this.getName());
        }
        return null;
    }
}

添加SaltUtils工具类：生成salt的静态方法

public static String getSalt(int n) {
        char[] chars = "ABCDEFGHIJKLMNOPQRSTUVWXYZabcdefghijklmnopqrstuvwxyz0123456789!@#$%^&*()".toCharArray();
        StringBuilder sb = new StringBuilder();
        for (int i = 0; i < n; i++) {
            char aChar = chars[new Random().nextInt(chars.length)];
            sb.append(aChar);
        }
        return sb.toString();
    }

CacheManager

cache缓存

定义：计算机内存中的一段数据，内存条

注：缓存查询用的多，增删改很少

作用：减轻DB的访问压力，从而提高系统的查询效率

使用shiro中默认EhCache实现缓存

依赖：
<dependency>
            <groupId>org.apache.shiro</groupId>
            <artifactId>shiro-ehcache</artifactId>
            <version>1.5.3</version>
        </dependency>

//在shiro配置类中开启缓存管理
        customRealm.setCacheManager(new EhCacheManager());
        customRealm.setCachingEnabled(true);    //开启全局缓存
        customRealm.setAuthenticationCachingEnabled(true);  //开启认证缓存
        customRealm.setAuthenticationCacheName("authenticationCache");
        customRealm.setAuthorizationCachingEnabled(true);   //开启授权缓存
        customRealm.setAuthorizationCacheName("authorizationCache");