spring shrio 权限怎么做 • Worktile社区

不及物动词

这个人很懒，什么都没有留下～

Spring Shiro是一个结合了Spring和Apache Shiro的权限管理框架。它为开发人员提供了一种简便的方式来实现应用程序的安全和权限控制。下面将介绍Spring Shiro的权限做法。

首先，在Spring Shiro中，权限控制主要包含两部分：认证和授权。其中，认证是验证用户身份的过程，而授权是确定用户是否具有执行某个操作的权限。
在进行认证过程时，Spring Shiro提供了一个称为Realm的类来与认证信息进行交互。开发人员需要自定义一个Realm类，实现其中的认证方法（doGetAuthenticationInfo）。在该方法中，可以根据传入的用户名和密码，从数据库或其他途径获取对应的用户信息，并返回给Shiro进行验证。
在完成认证后，就可以进行授权的过程了。授权是通过定义角色和权限来确认用户在系统中的访问权限。在Spring Shiro中，可以使用@RequiresRoles和@RequiresPermissions注解来对方法进行权限控制。开发人员可以在需要进行权限控制的方法上添加这两个注解，并指定相应的角色和权限，Shiro会根据用户的角色和权限来判断是否有权执行该方法。
另外，Spring Shiro还提供了一些其他的功能来增强权限控制的灵活性。例如，可以使用自定义的过滤器对URL进行权限控制，可以限制用户只能在特定的时间段内访问某些功能等。

总结起来，Spring Shiro通过Realm类来进行用户认证，并使用角色和权限来进行授权控制。开发人员只需在需要进行权限控制的方法上添加相应的注解，就可以实现方便灵活的权限管理。但需要注意的是，在实际开发中，还需结合具体的业务需求和系统设计，合理地设计和配置权限控制策略，以保证系统的安全性和稳定性。

1年前 0条评论

fiy

Worktile&PingCode市场小伙伴

Spring Shiro是一个非常强大的安全框架，用于在Java应用程序中实现身份验证、授权以及会话管理。下面是关于如何使用Spring Shiro框架实现权限控制的一些方法：

配置Shiro框架：首先，在Spring配置文件中配置Shiro框架。例如，在web.xml文件中添加Shiro的过滤器（DelegatingFilterProxy），以拦截HTTP请求，并在Spring配置文件中定义Shiro的安全管理器、Realm（用于进行身份验证和授权）、缓存管理器等。
定义自定义Realm：自定义Realm是Shiro的核心组件，用于获取用户身份信息和用户权限信息。开发人员需要继承Shiro提供的Realm类，并实现其中的认证和授权方法，以根据具体业务需求获取用户认证信息和用户权限信息。
配置认证和授权：在自定义Realm中，通过重写认证和授权方法，可以定制身份验证和授权的逻辑。例如，在认证方法中，可以查询数据库或其他身份验证服务，根据用户名和密码获取用户认证信息。在授权方法中，可以查询数据库或其他权限管理服务，根据用户角色和权限，来进行权限控制。
使用注解：Shiro提供了基于注解的权限控制功能，可以在Controller层或方法上添加注解来控制访问权限。例如，可以通过@RequiresRoles注解来限制只有具有特定角色的用户才能访问某个Controller方法，或者使用@RequiresPermissions注解来限制只有具有特定权限的用户才能执行某个操作。
前端页面控制：除了在后端进行权限控制外，还可以在前端页面进行权限控制。通过在前端模板引擎中加入Shiro的标签，可以根据用户的角色和权限动态显示页面内容。例如，可以使用Shiro的hasRole和hasPermission标签来判断用户是否具有某个角色或权限，从而显示或隐藏页面中的某些元素。

综上所述，使用Spring Shiro框架可以轻松实现权限控制。开发人员只需要配置Shiro框架、定义自定义Realm、配置认证和授权逻辑，并结合注解和前端页面控制，就可以实现灵活的权限管理功能。

1年前 0条评论

worktile

Worktile官方账号

Spring Shiro 是一个流行的安全框架，用于在基于 Java 的应用程序中实现身份认证和权限管理。通过结合 Spring 和 Apache Shiro，可以轻松地实现应用程序的安全性。下面将对 Spring Shiro 权限的实现方式进行详细介绍。

一、环境搭建
首先，需要确保项目中已经集成了 Spring 和 Apache Shiro 的依赖。可以通过 Maven 或 Gradle 进行添加依赖。

<dependency>
    <groupId>org.springframework.boot</groupId>
    <artifactId>spring-boot-starter-security</artifactId>
</dependency>
<dependency>
    <groupId>org.apache.shiro</groupId>
    <artifactId>shiro-core</artifactId>
    <version>1.7.1</version>
</dependency>

二、配置 ShiroFilterFactoryBean
Shiro 的核心是 ShiroFilterFactoryBean，它负责拦截请求并进行权限验证。我们需要进行如下配置：

创建一个 ShiroFilterFactoryBean 的 Bean，并注入相关的依赖：

@Bean(name = "shiroFilter")
public ShiroFilterFactoryBean shiroFilter(SecurityManager securityManager) {
    ShiroFilterFactoryBean shiroFilterFactoryBean = new ShiroFilterFactoryBean();
    shiroFilterFactoryBean.setSecurityManager(securityManager);
    // 设置登录页面
    shiroFilterFactoryBean.setLoginUrl("/login");
    // 设置未授权跳转页面
    shiroFilterFactoryBean.setUnauthorizedUrl("/error/unauthorized");
    // 设置拦截器
    Map<String, String> filterChainDefinitionMap = new LinkedHashMap<>();
    // 添加权限配置
    filterChainDefinitionMap.put("/admin/**", "perms[admin]");
    filterChainDefinitionMap.put("/user/**", "perms[user]");
    // 设置拦截器链
    shiroFilterFactoryBean.setFilterChainDefinitionMap(filterChainDefinitionMap);
    return shiroFilterFactoryBean;
}

配置 SecurityManager：

@Bean
public SecurityManager securityManager() {
    DefaultWebSecurityManager securityManager = new DefaultWebSecurityManager();
    // 设置 Realm
    securityManager.setRealm(myRealm());
    return securityManager;
}

配置自定义的 Realm：

@Bean
public MyRealm myRealm() {
    MyRealm realm = new MyRealm();
    // 设置密码加密算法
    realm.setCredentialsMatcher(hashedCredentialsMatcher());
    return realm;
}

配置密码加密算法：

@Bean
public HashedCredentialsMatcher hashedCredentialsMatcher(){
    HashedCredentialsMatcher hashedCredentialsMatcher = new HashedCredentialsMatcher();
    hashedCredentialsMatcher.setHashAlgorithmName("md5");
    hashedCredentialsMatcher.setHashIterations(1);
    return hashedCredentialsMatcher;
}

三、自定义 Realm
自定义 Realm 是实现身份认证和权限管理的核心部分。我们需要继承 Shiro 提供的 AuthorizingRealm 类，重写其中的方法，以实现自定义的逻辑。以下是一个简单的示例：

public class MyRealm extends AuthorizingRealm {

    @Autowired
    private UserService userService;

    // 授权
    @Override
    protected AuthorizationInfo doGetAuthorizationInfo(PrincipalCollection principals) {
        SimpleAuthorizationInfo authorizationInfo = new SimpleAuthorizationInfo();
        User user = (User) principals.getPrimaryPrincipal();
        
        // 查询用户角色和权限信息
        List<Role> roles = userService.findRolesByUserId(user.getId());
        for (Role role : roles) {
            authorizationInfo.addRole(role.getName());
            List<Permission> permissions = userService.findPermissionsByRoleId(role.getId());
            for (Permission permission : permissions) {
                authorizationInfo.addStringPermission(permission.getPermission());
            }
        }
        return authorizationInfo;
    }

    // 认证
    @Override
    protected AuthenticationInfo doGetAuthenticationInfo(AuthenticationToken token) throws AuthenticationException {
        String username = (String) token.getPrincipal();
        User user = userService.findByUsername(username);
        if (user == null) {
            throw new UnknownAccountException();
        }
        SimpleAuthenticationInfo authenticationInfo = new SimpleAuthenticationInfo(user, user.getPassword(), getName());
        return authenticationInfo;
    }
}

在上面的示例中，我们通过注入 UserService 来查询数据库中的用户角色和权限信息。这里的 User、Role 和 Permission 是自定义的实体类。

四、用户身份认证与权限管理
用户身份认证和权限管理是 Shiro 的核心功能，Spring Shiro 提供了一个注解方式来进行相关配置和使用。

注册 ShiroFilterFactoryBean 到 Spring 容器，并在 Controller 的方法上使用 @RequiresRoles 或 @RequiresPermissions 注解进行权限控制。例如：

@Controller
@RequestMapping("/admin/user")
public class UserController {
    
    @GetMapping("/{id}")
    @RequiresPermissions("admin:user:view")
    public String view(@PathVariable("id") Long id) {
        // ...
    }
    
    @PostMapping("/")
    @RequiresRoles("admin")
    public String create(User user) {
        // ...
    }
    
    // ...
}

在上面的示例中，我们使用了 @RequiresPermissions 和 @RequiresRoles 注解来指定对应的权限和角色要求。

在登录的时候通过 Subject 的 login 方法进行身份认证：

@RequestMapping("/login")
public String login(User user) {
    Subject subject = SecurityUtils.getSubject();
    UsernamePasswordToken token = new UsernamePasswordToken(user.getUsername(), user.getPassword());
    subject.login(token);
    
    // ...
}

在上面的示例中，我们使用了 UsernamePasswordToken 来包含用户的账号和密码信息。

上述即为使用 Spring Shiro 实现权限管理的基本流程，通过配置 ShiroFilterFactoryBean 和自定义 Realm，并结合使用注解进行权限控制，可以简单地实现应用程序的权限管理功能。当然，实际应用中还可以根据具体需求进行更细粒度的权限控制和配置。

1年前 0条评论