spring如何集成shiro

worktile 1年前其他 46

共3条回复我来回复

不及物动词

这个人很懒，什么都没有留下～

Spring框架和Shiro框架都是Java开发中常用的开源框架，它们可以相互集成以实现权限控制和安全验证功能。下面我将详细介绍Spring如何集成Shiro。

第一步：引入依赖
首先，在项目的pom.xml文件中添加Shiro和Spring的相关依赖。

<dependency>
    <groupId>org.springframework.boot</groupId>
    <artifactId>spring-boot-starter</artifactId>
</dependency>

<dependency>
    <groupId>org.apache.shiro</groupId>
    <artifactId>shiro-spring</artifactId>
    <version>1.7.1</version>
</dependency>

第二步：配置Shiro和Spring
接下来，在Spring的配置文件中配置Shiro的相关配置和Spring的相关配置。

在spring配置文件中添加以下bean定义：

<!-- 配置Shiro的SecurityManager -->
<bean id="securityManager" class="org.apache.shiro.web.mgt.DefaultWebSecurityManager">
    <property name="realms">
        <list>
            <!-- 配置Shiro的Realm -->
            <ref bean="myRealm"/>
        </list>
    </property>
</bean>

<!-- 配置Shiro的Realm -->
<bean id="myRealm" class="com.example.MyRealm">
    <!-- 配置Realm使用的加密算法 -->
    <property name="credentialsMatcher">
        <bean class="org.apache.shiro.authc.credential.HashedCredentialsMatcher">
            <property name="hashAlgorithmName" value="md5"/>
            <property name="hashIterations" value="1"/>
        </bean>
    </property>
</bean>

<!-- 配置Shiro的FilterChainDefinition -->
<bean id="shiroFilter" class="org.apache.shiro.spring.web.ShiroFilterFactoryBean">
    <property name="securityManager" ref="securityManager"/>
    <property name="filterChainDefinitions">
        <value>
            /login = anon
            /logout = anon
            /** = authc
        </value>
    </property>
</bean>

第三步：实现自定义Realm
接下来，我们需要实现一个自定义的Realm，该Realm用于实现用户的认证和授权。

public class MyRealm extends AuthorizingRealm {

    // 实现用户的认证
    @Override
    protected AuthenticationInfo doGetAuthenticationInfo(AuthenticationToken token) throws AuthenticationException {
        // 根据用户名从数据库中查询用户信息
        User user = userService.findByUsername(token.getPrincipal().toString());
        if (user == null) {
            return null;
        }
        return new SimpleAuthenticationInfo(
                user.getUsername(),
                user.getPassword(),
                ByteSource.Util.bytes(user.getSalt()),
                getName()
        );
    }

    // 实现用户的授权
    @Override
    protected AuthorizationInfo doGetAuthorizationInfo(PrincipalCollection principals) {
        // 获取当前登录用户的用户名
        String username = (String) principals.getPrimaryPrincipal();
        // 根据用户名从数据库中查询用户角色和权限信息
        Set<String> roles = userService.findRolesByUsername(username);
        Set<String> permissions = userService.findPermissionsByUsername(username);
        SimpleAuthorizationInfo authorizationInfo = new SimpleAuthorizationInfo();
        authorizationInfo.setRoles(roles);
        authorizationInfo.setStringPermissions(permissions);
        return authorizationInfo;
    }
}

在自定义的Realm中，我们需要根据实际情况实现doGetAuthenticationInfo方法和doGetAuthorizationInfo方法，分别用于用户的认证和授权。

第四步：使用Shiro进行权限控制
完成以上配置后，我们就可以在Spring的Controller中使用Shiro进行权限控制了。

@Controller
public class UserController {

    @RequestMapping("/user/list")
    @RequiresPermissions("user:list")
    public String list() {
        // 对具有"user:list"权限的用户进行业务处理
        return "userList";
    }

    @RequestMapping("/user/add")
    @RequiresRoles("admin")
    public String add() {
        // 对具有"admin"角色的用户进行业务处理
        return "userAdd";
    }

    // 其他业务方法...
}

在Controller的方法上使用@RequiresPermissions注解和@RequiresRoles注解，即可实现基于Shiro的权限控制。

总结：通过以上步骤，我们就完成了Spring集成Shiro的过程。在Spring中集成Shiro可以帮助我们实现灵活、可配置的权限控制和安全验证功能，提高系统的安全性和可扩展性。

1年前 0条评论

fiy
Worktile&PingCode市场小伙伴
评论
Spring和Shiro是两个开源框架，可以很容易地集成在一起，提供强大的身份验证和授权功能。下面将介绍通过Spring集成Shiro的步骤：
1. 引入依赖：首先，在你的项目中引入Spring和Shiro的相关依赖。可以使用Maven或Gradle等构建工具，在你的项目配置文件中添加以下依赖：
```

<dependency>
    <groupId>org.springframework</groupId>
    <artifactId>spring-context</artifactId>
    <version>5.3.8</version>
</dependency>


<dependency>
    <groupId>org.apache.shiro</groupId>
    <artifactId>shiro-core</artifactId>
    <version>1.7.1</version>
</dependency>
```
1. 配置Shiro的SecurityManager：在Spring的配置文件中，添加Shiro的SecurityManager配置。可以使用Shiro提供的DefaultWebSecurityManager类来创建一个SecurityManager实例，并将其配置为Spring的bean。SecurityManager负责认证和授权操作。
```
<bean id="securityManager" class="org.apache.shiro.web.mgt.DefaultWebSecurityManager">
    <property name="realm" ref="realm" />
</bean>

<bean id="lifecycleBeanPostProcessor" class="org.apache.shiro.spring.LifecycleBeanPostProcessor" />

<bean class="org.springframework.beans.factory.config.MethodInvokingFactoryBean">
    <property name="staticMethod" value="org.apache.shiro.SecurityUtils.setSecurityManager" />
    <property name="arguments" ref="securityManager" />
</bean>
```
1. 创建Shiro的Realm：在Shiro中，Realm负责管理用户的账户信息和权限信息。你需要实现一个CustomerRealm的类，继承自Shiro提供的AuthorizingRealm类。在这个类中，你可以根据项目的需求，实现相应的方法，例如获取用户信息、验证用户凭证、获取用户授权信息等。
```
public class CustomerRealm extends AuthorizingRealm {
    
    @Override
    protected AuthorizationInfo doGetAuthorizationInfo(PrincipalCollection principals) {
        // 获取当前用户权限信息
    }
    
    @Override
    protected AuthenticationInfo doGetAuthenticationInfo(AuthenticationToken token) throws AuthenticationException {
        // 验证用户凭证
    }
}
```
1. 配置Shiro的Realm：在Spring的配置文件中，将刚刚创建的CustomerRealm配置为Spring的bean，并设置为SecurityManager的realm。
```
<bean id="realm" class="com.example.CustomerRealm" />
```
1. 配置Shiro的过滤器：如果你想在Web应用中使用Shiro进行身份验证和授权，你需要配置Shiro的过滤器。在Spring的配置文件中，可以使用Shiro提供的ShiroFilterFactoryBean来创建一个Shiro的Filter实例，并设置相应的过滤规则。
```
<bean id="shiroFilter" class="org.apache.shiro.spring.web.ShiroFilterFactoryBean">
    <property name="securityManager" ref="securityManager" />
    <property name="loginUrl" value="/login" />
    <property name="unauthorizedUrl" value="/unauthorized" />
    <property name="filterChainDefinitions">
        <value>
            /static/** = anon
            /login = anon
            /logout = logout
            /** = authc
        </value>
    </property>
</bean>
```
以上就是将Spring和Shiro集成的主要步骤。通过这样的集成，你可以在Spring项目中使用Shiro提供的强大的身份验证和授权功能。当然，在实际应用中，还会涉及到更多的配置和具体的业务逻辑。你可以根据项目的需求进行更加细致的配置和定制。
1年前 0条评论

worktile

Worktile官方账号

Spring可以通过集成Shiro来实现对用户身份验证、授权和会话管理等安全功能的支持。下面是Spring集成Shiro的步骤及操作流程:

引入Spring和Shiro的相关依赖
在项目的Maven或Gradle配置文件中引入Spring和Shiro的相关依赖，例如:

<dependency>
    <groupId>org.springframework</groupId>
    <artifactId>spring-context</artifactId>
    <version>${spring.version}</version>
</dependency>
<dependency>
    <groupId>org.apache.shiro</groupId>
    <artifactId>shiro-spring</artifactId>
    <version>${shiro.version}</version>
</dependency>

其中，${spring.version}和${shiro.version}需要根据实际使用的版本进行替换。

配置Shiro的相关组件
在Spring的配置文件（通常是applicationContext.xml）中配置Shiro相关的组件，包括安全管理器、Realm、会话管理器等。
示例配置如下：

<!-- 安全管理器 -->
<bean id="securityManager" class="org.apache.shiro.web.mgt.DefaultWebSecurityManager">
    <!-- Realm -->
    <property name="realm" ref="myRealm" />
    <!-- Session 管理器 -->
    <property name="sessionManager" ref="sessionManager" />
</bean>

<!-- 定义 Realm -->
<bean id="myRealm" class="com.example.MyRealm">
    <!-- 可选的配置项 -->
    <property name="credentialsMatcher" ref="hashCredentialsMatcher" />
</bean>

<!-- 密码匹配器 -->
<bean id="hashCredentialsMatcher" class="org.apache.shiro.authc.credential.HashedCredentialsMatcher">
    <!-- 设置密码加密方式 -->
    <property name="hashAlgorithmName" value="SHA-256" />
    <!-- 设置加密次数 -->
    <property name="hashIterations" value="1" />
</bean>

<!-- 会话管理器 -->
<bean id="sessionManager" class="org.apache.shiro.web.session.mgt.DefaultWebSessionManager">
    <!-- 可选的配置项 -->
</bean>

在上面的配置中，我们使用了DefaultWebSecurityManager作为安全管理器，myRealm作为Realm，DefaultWebSessionManager作为会话管理器。另外，hashCredentialsMatcher用于配置密码匹配器，可以根据具体需要进行设置。

编写Realm
创建一个Realm类，继承自org.apache.shiro.realm.AuthorizingRealm，实现其中的doGetAuthenticationInfo和doGetAuthorizationInfo方法。doGetAuthenticationInfo方法用于进行用户身份验证，doGetAuthorizationInfo方法用于进行用户授权。
示例代码如下：

public class MyRealm extends AuthorizingRealm {

    @Override
    protected AuthenticationInfo doGetAuthenticationInfo(AuthenticationToken token) throws AuthenticationException {
        // 根据用户名获取用户信息，如从数据库中查询
        String username = (String) token.getPrincipal();
        User user = userService.getUserByUsername(username);

        if (user == null) {
            throw new UnknownAccountException();
        }

        // 验证密码
        SimpleAuthenticationInfo authenticationInfo = new SimpleAuthenticationInfo(
                user.getUsername(),
                user.getPassword(),
                getName()
        );
        return authenticationInfo;
    }

    @Override
    protected AuthorizationInfo doGetAuthorizationInfo(PrincipalCollection principals) {
        // 根据用户名获取用户角色和权限信息，如从数据库中查询
        String username = (String) principals.getPrimaryPrincipal();
        User user = userService.getUserByUsername(username);
        
        // 添加角色和权限
        SimpleAuthorizationInfo authorizationInfo = new SimpleAuthorizationInfo();
        for (Role role : user.getRoles()) {
            authorizationInfo.addRole(role.getName());
            authorizationInfo.addStringPermissions(role.getPermissions());
        }
        return authorizationInfo;
    }

}

在上面的代码中，我们通过重写doGetAuthenticationInfo和doGetAuthorizationInfo方法来实现身份验证和授权逻辑。其中，可以根据实际需求从数据库或其他数据源中获取相应的用户信息，然后进行验证和授权。

配置Shiro的Web过滤器
在Spring的配置文件中配置Shiro的Web过滤器，用于拦截需要身份验证或权限控制的URL。
示例配置如下：

<!-- Shiro 过滤器 -->
<bean id="shiroFilter" class="org.apache.shiro.spring.web.ShiroFilterFactoryBean">
    <!-- 安全管理器 -->
    <property name="securityManager" ref="securityManager" />
    <!-- 登录页面 -->
    <property name="loginUrl" value="/login" />
    <!-- 未授权页面 -->
    <property name="unauthorizedUrl" value="/unauthorized" />
    <!-- 需要身份验证的 URL -->
    <property name="filterChainDefinitions">
        <value>
            /admin/** = authc, roles[admin]
            /user/** = authc, roles[user]
            /public/** = anon
        </value>
    </property>
</bean>

在上面的配置中，我们通过filterChainDefinitions配置项来定义URL的拦截规则。使用authc表示需要身份验证，使用roles表示需要指定角色。

配置Shiro的Web过滤器链
在Spring MVC的配置文件中配置Shiro的Web过滤器链，用于将Shiro的过滤器集成到Spring MVC中。
示例配置如下：

<!-- 将 Shiro 的过滤器集成到 Spring MVC -->
<bean class="org.springframework.web.filter.DelegatingFilterProxy">
    <property name="targetFilterLifecycle" value="true" />
</bean>

在上面的配置中，我们通过DelegatingFilterProxy将Shiro的过滤器集成到Spring MVC中。

通过以上步骤，我们完成了Spring集成Shiro的操作流程。在实际开发中，可以根据需求进行相应的配置和定制，以满足具体的安全需求。

1年前 0条评论