深入浅出 Spring Boot 与 Shiro：构建安全认证与权限管理框架

一、Shiro框架概念

（一）Shiro框架概念

1.概念：

  • Shiro是apache旗下一个开源安全框架，它对软件系统中的安全认证相关功能进行了封装，实现了用户身份认证，权限授权、加密、会话管理等功能，组成一个通用的安全认证框架。
  • 工作流程如下图所示：

2.Shiro框架的三大组件：

  • Subject:主体对象，用于提交用户认证和授权作息。
  • SecurityManager:安全管理器，负责认证、授权等业务实现。（程序员需要配置该类）
  • Realm:领域对象，负责从数据层获取业务数据。（需要程序员提供Shiro框架定义的抽象类AuthorizingRealm（授权Realm）或AuthenticatingRealm（认证Realm）。
  • 三大组件工作流程

3.Shiro框架的相关组件具体作用：

  • Shiro框架进行权限管理时，涉及了一些核心对象，主要包括：认证管理对象，授权管理对象，会话管理对象，缓存管理对象，加密管理对象以及Realm管理对象等。
    • 具体架构如图所示：

  • 核心对象具体作用：
  • Subject:与软件交互的一个特定的实体（用户、第三方服务等）。
  • SecurityManager:Shiro的核心，用来协调管理组件工作。
  • Authenticator:负责认证操作。
  • Authorizer:负责授权检测。
  • SessionManager（会话管理）：负责创建并管理用户Session生命周期。
  • SessionDao：代表SessionManager执行Session持久（CRUD）操作，它允许任何存储的数据挂接到Session管理基础上。
  • CacheManager：提供创建缓存实例和管理缓存生命周期的功能。
  • Cryptography（加密管理器）：提供了加密方式的设计及管理。
  • Realm（领域对象）：是Shiro和应用程序安全数据的桥梁。

二、SpringBoot整合Shiro

（一）所需依赖

<dependency><groupId>org.apache.shiro</groupId><artifactId>shiro-spring-boot-web-starter</artifactId><version>1.7.1</version>
</dependency>

1.当添加该依赖后需要对项目进行初始化否则项目会启动失败。

原因：添加该依赖启动项目时，Shiro框架会要求创建一个Realm对象并交给Spring框架管理。

（二）完成Shiro配置

1.在application.yml/application.properties文件中

shiro:loginUrl: /login

（三）完成Shiro框架整合

  • 提供Realm的实现类：
    • Realm定义与实现结构及提供Realm实现类的方式

  • 具体实现过程：
    • 提供Realm的具体实现类SysShiroRealm.
      • 将SysShiroRealm对象交给Spring管理。如下图：

    三、通过Shiro框架认证实现

    （一）配置认证过滤链

    1.实现方法：

    • 配置一个ShiroFilterChainDefinition的实现类DefaultShiroFilterChainDefinition对象，在该对象中配置具体过滤链。完成配置后将该对象交于Spring管理。

    2.具体实现：

    @Bean
public ShiroFilterChainDefinition shiroFilterChainDefinition()
{DefaultShiroFilterChainDefinition chainDefinition = new DefaultShiroFilterChainDefinition();chainDefinition.addPathDefinition("/login", "anon");chainDefinition.addPathDefinition("/assets/**", "anon");chainDefinition.addPathDefinition("/forgetpw", "anon");chainDefinition.addPathDefinition("/user/logininfo", "anon");chainDefinition.addPathDefinition("/logout", "logout");/*chainDefinition.addPathDefinition("/**", "authc");*/return chainDefinition;
}
    • 细节如下图所示

    （二）提交用户登录信息给Shiro框架的securityMananger。

    实现方法：通过Subject对象调用login()方法实现。

    第一步：从前端获取用户信息通过Ajax或Axios提交给controller。

    第二步：controller获取前端提供的用户登录信息，并封装成UsernamePasswordToken做为参数传递给Subject对象。Subject对象调用login方法将用户登录信息提交给SecurityManager进行登录校验。具体如下图：

    （三）数据库获取用户认证信息交给Shiro框架的SecurityManager。

    实现方法：通过重写doGetAuthenricatingInfo()实现

    第一步：向SecurtiyManager提供用户凭证加密方式：

    • 原因：
      • 由于通过Subject的login方法传给SecurityManager的用户的密码为明文密码，而数据库中保存的是加密盐和加密密码，因此需要提供加密方法，供SecurityManager调用对明文密码进行加密操作完成与加密后的密码校验。
    • 方法：
      • 提供加密方法需要重写AuthorizingReaml的方法getCredentialsMatcher方法，该方法返回一个CredentialsMatcher（凭证匹配器）的实现类HashedCredentialsMatcher（针对MD5加密）的对象。
    • 具体实现：

    第二步：重写认证方法doGetAuthenticatingInfo方法，返回一个AuthenticationInfo的实现类SimpleAuthenticationInfo对象。用于封装数据库中用户凭证信息。

    • 目的：封装从数据库获取的用户凭证信息，用于SecurityManager认证操作。
    • 具体实现：
        • 其中：SimpleAuthenticationInfo对象的构造方法：如图所示。

    （四）完成认证

    • 由SecurityManager内部完成，无需程序员干预。

    （五）对认证结果进行处理。

    1.SecurityMananger认证结果：

    • 用户不存在：SecurityManager抛出UnknowAccountException。
    • 密码不匹配：SecurityManager抛出IncorrectCredetialsException。
    • 账号锁定：SecurityManager抛出LockedAccountException。

    2.通过全局异常处理类完成认证结果信息普通化：

    (六)获取用户登陆信息

    1.方法：

    • 通过shiro框架的subject组件获取。

    2.具体实现：

    • SysUsersPojo usersPojo = (SysUsersPojo) SecurityUtils.getSubject().getPrincipal();

    四、通过Shiro框架实现授权

    （一）实现授权的方式

    • Shiro框架实现授权是通过AOP的方式实现的。
      • 底层通过@annontation切入点表达式来定义切点。
        • 自定义的Annontation为@RequiresPremissions。
        • 注解实参：自定义的授权标识标识。
          • 作用：用于标识访问该方法需要的权限。
        • 目标方法是需要授权才能访问的方法。
        • 具体使用方法：

    （二）授权的前置依赖

    • 由于Shiro框架的授权是通过AOP来实现的，因此，要实现Shiro授权，就必须在项目中添加SpringAop依赖。
    • 即： 
      • <dependency><groupId>org.springframework.boot</groupId><artifactId>spring-boot-starter-aop</artifactId>
</dependency>

    （三）授权实现流程

    1.认证是授权的基础。

    2.实现流程

    • 当用户访问需要授权的资源时，SecurityManager调用Realm中的doGetAuthorizationInfo()方法。
    • 该方法从用户认证信息中获取用户信息。
    • 通过用户信息获取用户所拥有的所有授权信息，封装成AuthorizationInfo实现类的对象。
    • SecurityManager内部完成授权信息校验。
      • 如果用户拥有该授权标识，则访问该方法；如果用户没有该授权标识，则SecurityManager出抛出AuthorizationEexception，终止访问。

    （四）具体实现过程

    1.使用@RequiresPermissions描述需要授权才能访问的方法。

    2.重写Realm中的doGetAuthorizationInfo方法，用于封装数据库的保存的该用户拥有的所有授权标识以供SecurityManager授权校验时使用。

    3.授权中可能存在的问题

    • 存在问题：当使用@RequiresPermissions注解描述需要授权访问的Controller层方法时，导致该方法无法被访问。
    • 产生原因：
      • Shiro框架实现授权是通过AOP的方式实现。
      • 当@RequiresPermissions描述目标方法时，Shiro会为该方法所在类创建一个CGLIB代理对象。
      • 在创建代理对象时，默认情况下，原Controller方法上的@RequestMapping等类似注解失效。导致无法访问该Controller方法。
    • 解决方法：
      • 解决原理：
        • AOP创建代理对象是通过DefaultAdvisorAutoProxyCreator对象完成的。
      • 解决方法：
        • 修改DefaultAdvisorAutoProxyCreator对象配置，让原对象上注解生效。
      • 具体实现。

    五、认证授权总结

    （一）用户信息流转流程

本文来自互联网用户投稿，该文观点仅代表作者本人，不代表本站立场。本站仅提供信息存储空间服务，不拥有所有权，不承担相关法律责任。如若转载，请注明出处：http://www.xdnf.cn/news/6109.html

如若内容造成侵权/违法违规/事实不符，请联系一条长河网进行投诉反馈，一经查实，立即删除！

相关文章

【JAVA】java 企业微信信息推送

【JAVA】java 企业微信信息推送

前言 JAVA中 将信息 推送到企业微信 // 企微消息推送messageprivate String getMessage(String name, String problemType, String pushResults, Long orderId,java.util.Date submitTime, java.util.Date payTime) {String message "对接方&#xff1a;<font color\…
阅读更多...
AI代币是什么？AI与Web3结合的未来方向在哪里？

AI代币是什么？AI与Web3结合的未来方向在哪里？

近两年随着人工智能的崛起&#xff0c;AI已经渗透到制造业、电商、广告、医药等各个行业&#xff0c;加密货币领域也不例外&#xff0c;人工智能与区块链的融合&#xff0c;让我们看到了独特的数字资产 — AI加密代币。 它的流行始于2022年底&#xff0c;随着OpenAI智能聊天机…
阅读更多...
MySQL数据库中的视图

MySQL数据库中的视图

视图 ​ 本篇将开始介绍有关数据库中视图的相关知识点&#xff0c;其中主要包含视图的基本使用&#xff0c;视图规则和限制。 ​ 视图是一个虚拟表&#xff0c;其内容由查询定义。同真实的表一样&#xff0c;视图包含一系列带有名称的列和行数据&#xff0c;视图的数据变化会…
阅读更多...
Linux基础（八）：EXT与XFS文件系统简介

Linux基础（八）：EXT与XFS文件系统简介

磁盘与文件系统管理 1.文件系统与分区2. inode、block和superblock3.EXT2的文件系统3.1 data block3.2 inode Table3.2.1 inode记录的内容3.2.2 inode特点 3.3 Superblock3.4 Filesystem Description(文件系统描述说明)3.5 block bitmap &#xff08; 区块对照表&#xff09;3.…
阅读更多...
clion远程配置docker ros2

clion远程配置docker ros2

CLION与docker中的ROS2环境构建远程连接 设备前提开启SSH服务CLION配置CLION配置CLION IDE远程连接过程实现CLION SSH 远程部署 开启fastlio2debug之旅 设备前提 本地宿主机&#xff1a;UBUNTU 20.04 docker container:ros2_container (内置环境ROS2 humble) 通过之前的tcp连接…
阅读更多...
Midjourney从入门到精通教程，10分钟让你从小白变大神！【珍藏版】

Midjourney从入门到精通教程，10分钟让你从小白变大神！【珍藏版】

前言&#xff1a; 《Midjourney使用教程&#xff1a;从入门到精通》旨在带领你一步步掌握这款强大的AI创作工具。无论你是设计小白还是有一定基础的创作者&#xff0c;本教程都将为你揭开Midjourney的神秘面纱。从基本操作到高级技巧&#xff0c;我们将逐一解析&#xff0c;让…
阅读更多...
JAVA开源项目 网上租赁系统 计算机毕业设计

JAVA开源项目 网上租赁系统 计算机毕业设计

本文项目编号 T 050 &#xff0c;文末自助获取源码 \color{red}{T050&#xff0c;文末自助获取源码} T050&#xff0c;文末自助获取源码 目录 一、系统介绍二、演示录屏三、启动教程四、功能截图五、文案资料5.1 选题背景5.2 国内外研究现状5.3 可行性分析5.4 用例设计5.4.1 用…
阅读更多...
面试经典 150 题：189、383

面试经典 150 题：189、383

189. 轮转数组 【参考代码】 class Solution { public:void rotate(vector<int>& nums, int k) {int size nums.size();if(1 size){return;}vector<int> temp(size);//k k % size;for(int i0; i<size; i){temp[(i k) % size] nums[i];}nums temp; }…
阅读更多...
基于MATLAB的混沌序列图像加密程序

基于MATLAB的混沌序列图像加密程序

设计目的 图像信息生动形象&#xff0c;它已成为人类表达信息的重要手段之一&#xff0c;网络上的图像数据很多是要求发送方和接受都要进行加密通信&#xff0c;信息的安全与保密显得尤为重要&#xff0c;因此我想运用异或运算将数据进行隐藏&#xff0c;连续使用同一数据对图…
阅读更多...
史上最大应用层DDoS攻击 H2 Rapid Reset攻击研究

史上最大应用层DDoS攻击 H2 Rapid Reset攻击研究

前言 2023年10月Cloudflare、Google、AWS等厂商公布了一种利用HTTP/2快速重置进行应用层DDoS攻击的0day漏洞(CVE-2023-44487)[1][2]&#xff0c;即H2 Rapid Reset DDoS。Google宣传其监控到此种攻击峰值超过每秒3.98亿个请求&#xff0c;打破互联网历史最大应用层DDoS攻击记录…
阅读更多...
Python 如何在 Web 环境中使用 Matplotlib 进行数据可视化

Python 如何在 Web 环境中使用 Matplotlib 进行数据可视化

Python Matplotlib 在 Web 环境中的可视化 数据可视化是数据科学和分析中一个至关重要的部分&#xff0c;它能帮助我们更好地理解和解释数据。在现代应用中&#xff0c;越来越多的开发者希望能够将数据可视化结果展示在网页上。Matplotlib 是 Python 中最常用的数据可视化库之…
阅读更多...
JavaWeb项目-----博客系统

JavaWeb项目-----博客系统

一.设计数据库 1.创建数据库 create database if not exists java108_blog_system character set utf8; drop table if exists user; drop table if exists blog;2.创建博客列表 create table blog(blogId int primary key auto_increment,title varchar(20),content varcha…
阅读更多...
算法练习——双指针

算法练习——双指针

前言&#xff1a;大佬写博客给别人看&#xff0c;菜鸟写博客给自己看&#xff0c;我是菜鸟。 学前须知&#xff08;对自己&#xff09;&#xff1a;这里的指针不一定指地址&#xff01;也可能是数组下标。 1&#xff1a;移动零(双指针) 题目要求&#xff1a; 解题思路&#x…
阅读更多...
vue3实现一个无缝衔接、滚动平滑的列表自动滚屏效果，支持鼠标移入停止移出滚动

vue3实现一个无缝衔接、滚动平滑的列表自动滚屏效果，支持鼠标移入停止移出滚动

文章目录 前言一、滚动元素相关属性回顾一、实现分析二、代码实现示例&#xff1a;2、继续添加功能&#xff0c;增加鼠标移入停止滚动、移出继续滚动效果2、继续完善 前言 列表自动滚屏效果常见于大屏开发场景中&#xff0c;本文将讲解用vue3实现一个无缝衔接、滚动平滑的列表自…
阅读更多...
vscode翻译插件

vscode翻译插件

vscode翻译插件 需求 &#xff1a; 在编写代码的时候&#xff0c; 打印或者定义变量的时候总是想不起来英文名称&#xff0c; 所有就开发了一款中文转换为英文的插件。 功能 1、目前支持选中中文&#xff0c;右键选择打印或者变量进行转换。 2、目前支持选中中文&#xff0…
阅读更多...
Linux -- 初识线程

Linux -- 初识线程

目录 线程的初步认识 为什么需要线程 怎么让代码分成多个执行流并发执行呢&#xff1f; 管理线程 线程的初步认识 线程是进程内部的一个执行分支&#xff0c;线程是CPU调度的基本单位。 在Linux操作系统中&#xff0c;线程是程序执行流的最小单位。一个进程可以包含多个线…
阅读更多...
基于IM场景下的Wasm初探：提升Web应用性能｜得物技术

基于IM场景下的Wasm初探：提升Web应用性能｜得物技术

一、何为Wasm &#xff1f; Wasm&#xff0c;全称 WebAssembly&#xff0c;官网描述是一种用于基于堆栈的虚拟机的二进制指令格式。Wasm被设计为一个可移植的目标&#xff0c;用于编译C/C/Rust等高级语言&#xff0c;支持在Web上部署客户端和服务器应用程序。 Wasm 的开发者参…
阅读更多...
Linux SSH免密登入以及配置脚本

Linux SSH免密登入以及配置脚本

一、ssh原理简单介绍 客户端生成一对公钥和私钥&#xff0c;并将自己的公钥发送到服务器上 其中公钥用来加密&#xff0c;私钥用来解密。 二、ssh免密登入实现步骤详解 我这就以服务器controller和客户端compute来做为例子 2.1、首先在controller上输入ssh-keygen -t rsa …
阅读更多...
Flutter 获取照片权限的时候是否要获取存储权限？

Flutter 获取照片权限的时候是否要获取存储权限？

获取存储权限 Permission.storage.request(); 获取照片权限通常意味着访问相册&#xff0c;而访问相册可能还需要外部存储权限&#xff0c;因为照片通常存储在设备的外部存储中。所以&#xff0c;当你请求照片权限时&#xff0c;你也需要检查并请求外部存储权限。 是不是所有…
阅读更多...
一个基于Rust适用于 Web、桌面、移动设备等的全栈应用程序框架

一个基于Rust适用于 Web、桌面、移动设备等的全栈应用程序框架

大家好&#xff0c;今天给大家分享一个用 Rust 语言编写的、受 React 启发的前端框架Dioxus&#xff0c;旨在为构建跨平台的用户界面提供高效、高性能的解决方案。 项目介绍 Dioxus项目的诞生源于开发者们对于更高效、更灵活的跨平台UI解决方案的渴望。 随着技术的发展&#…
阅读更多...
最新文章

Copyright @ 2022~2023