shiro的原理理解
1、shiro原理图如下:
框架解释：
subject：主体，可以是⽤户也可以是程序，主体要访问系统，系统需要对主体进⾏认证、授权。
securityManager：安全管理器，主体进⾏认证和授权都是通过securityManager进⾏。它包含下⾯的认证器和授权器。authenticator：认证器，主体进⾏认证最终通过authenticator进⾏的。
authorizer：授权器，主体进⾏授权最终通过authorizer进⾏的。
sessionManager：web应⽤中⼀般是⽤web容器对session进⾏管理，shiro也提供⼀套session管理的⽅式。可以实现单点登录。SessionDao：通过SessionDao管理session数据，针对个性化的session数据存储需要使⽤sessionDao。
cache Manager：缓存管理器，主要对session和授权数据进⾏缓存，⽐如将授权数据通过cacheManager进⾏缓存管理，和ehcache整合对缓存数据进⾏管理。
realm：域，领域，相当于数据源，通过realm存取认证、授权相关数据。（它的主要⽬的是与数据库打交道，查询数据库中的认证的信息（⽐如⽤户名和密码），查询授权的信息（⽐如权限的code等，所以这⾥可以理解为调⽤数据库查询⼀系列的信息，⼀般情况下在项⽬中采⽤⾃定义的realm，因为不同的业务需求不⼀样））
注意：在realm中存储授权和认证的逻辑。
cryptography：密码管理，提供了⼀套加密/解密的组件，⽅便开发。⽐如提供常⽤的散列、加/解密等功能。
⽐如 md5散列算法。
2、shiro介绍
shiro是apache的⼀个开源框架，是⼀个权限管理的框架，实现⽤户认证、⽤户授权。
spring中有spring security (原名Acegi)，是⼀个权限框架，它和spring依赖过于紧密，没有shiro使⽤简单。
shiro不依赖于spring，shiro不仅可以实现 web应⽤的权限管理，还可以实现c/s系统，分布式系统权限管理，shiro属于轻量框架，越来越多企业项⽬开始使⽤shiro。
使⽤shiro实现系统的权限管理，有效提⾼开发效率，从⽽降低开发成本。
3、认证原理：
1、通过ini配置⽂件创建securityManager
2、调⽤subject.login⽅法主体提交认证，提交的token
3、securityManager进⾏认证，securityManager最终由ModularRealmAuthenticator进⾏认证。
4、ModularRealmAuthenticator调⽤IniRealm(给realm传⼊token) 去ini配置⽂件中查询⽤户信息
5、IniRealm根据输⼊的token（UsernamePasswordToken，即这⾥的token是⽤户从页⾯输⼊的信息）从 shiro-first.ini查询⽤户信息（这⾥是测试阶段，后⾯都是查询的数据库，注⼊service，调⽤dao），根据账号查询⽤户信息（账号和密码）
如果查询到⽤户信息，就给ModularRealmAuthenticator返回⽤户信息（账号和密码）
如果查询不到，就给ModularRealmAuthenticator返回null
6、ModularRealmAuthenticator接收IniRealm返回Authentication认证信息
如果返回的认证信息是null，ModularRealmAuthenticator抛出异常（org.apache.shiro.authc.UnknownAccountException）
如果返回的认证信息不是null（说明inirealm到了⽤户），对IniRealm返回⽤户密码（在ini⽂件中存在）和 token中的密码进⾏对⽐，如果不⼀致抛出异常（org.apache.shiro.authc.IncorrectCredentialsException）
⼩结：
ModularRealmAuthenticator作⽤进⾏认证，需要调⽤realm查询⽤户信息（在数据库中存在⽤户信息）ModularRealmAuthenticator进⾏密码对⽐（认证过程）。
realm：需要根据token中的⾝份信息去查询数据库（⼊门程序使⽤ini配置⽂件），如果查到⽤户返回认证信息，如果查询不到返回null。4、散列算法：
通常需要对密码进⾏散列，常⽤的有md5、sha，
shiro的散列加密是这样⼦的：
建议对md5进⾏散列时加salt（盐），进⾏加密相当于对原始密码+盐进⾏散列。
即md5+salt（这个盐⼀般是随机盐，即开发⼈员给定义随机的字符串或者数字即可）+散列次数
这⾥的md5是原始的md5的加密了⼀次的密码+随机盐，然后对这个新的密码password=（md5+salt），进⾏散列：如何进⾏散列呢：就是多次md5加密md5(md5(md5(md5(password))))，这是4次散列，每次密码的破解的难度都加⼤。
正常使⽤时散列⽅法：
在程序中对原始密码+盐进⾏散列，将散列值存储到数据库中，并且还要将盐也要存储在数据库中。
如果进⾏密码对⽐时，使⽤相同⽅法，将原始密码+盐进⾏散列，进⾏⽐对。
5、授权原理
原理：
1、对subject进⾏授权，调⽤⽅法isPermitted（"permission串"）
2、SecurityManager执⾏授权，通过ModularRealmAuthorizer执⾏授权
3、ModularRealmAuthorizer执⾏realm（⾃定义的CustomRealm）从数据库查询权限数据
调⽤realm的授权⽅法：doGetAuthorizationInfo
4、realm从数据库查询权限数据，返回ModularRealmAuthorizer
5、ModularRealmAuthorizer调⽤PermissionResolver进⾏权限串⽐对
6、如果⽐对后，isPermitted中"permission串"在realm查询到权限数据中，说明⽤户访问permission串有权限，否则没有权限，抛出异常。shiro的授权⽅式有三种：
（1）—— 编程式：通过写if/else 授权代码块完成：（这种⽐较少⽤，⼀般在项⽬中采⽤后两种）
Subject subject = Subject();
if(subject.hasRole(“admin”)) {
//有权限
} else {
//⽆权限
}
（2）—— 注解式：通过在执⾏的Java⽅法上放置相应的注解完成：
@RequiresRoles("admin")
public void hello() {
//有权限
}
（3）—— JSP/GSP 标签：在JSP/GSP 页⾯通过相应的标签完成：
在jsp页⾯导⼊shiro的标签既可以使⽤shiro的标签来进⾏权限的判断：
Jsp页⾯添加：
<%@ taglib uri="/tags" prefix="shiro" %>
标签名称标签条件（均是显⽰标签内容）
<shiro:authenticated>登录之后
<shiro:notAuthenticated>不在登录状态时
<shiro:guest>⽤户在没有RememberMe时
<shiro:user>⽤户在RememberMe时
<shiro:hasAnyRoles name="abc,123" >在有abc或者123⾓⾊时
<shiro:hasRole name="abc">拥有⾓⾊abc
<shiro:lacksRole name="abc">没有⾓⾊abc
<shiro:hasPermission name="abc">拥有权限资源abc
<shiro:lacksPermission name="abc">没有abc权限资源
<shiro:principal>显⽰⽤户⾝份名称
<shiro:principal property="username"/> 显⽰⽤户⾝份中的属性值
<shiro:hasRole name="admin">
<!— 有权限—>
</shiro:hasRole>
6、shiro与项⽬的整合：
整合⽆⾮就是jar包和配置⽂件：
配置⽂件：在l中配置filter：
在web系统中，shiro也通过filter进⾏拦截。filter拦截后将操作权交给spring中配置的filterChain（过虑链⼉）shiro提供很多filter。在l中配置filter
与spring的整合交由spring的容器管理：security manager 、realm、filter都交由spring整合
下⾯可以看下具体realm⾃定义使⽤与application_shiro的内容：
realm：
package cn.project.ssm.shiro;
import java.security.acl.Permission;
import java.util.ArrayList;
import java.util.List;
import org.apache.shiro.SecurityUtils;
import org.apache.shiro.authc.AuthenticationException;
import org.apache.shiro.authc.AuthenticationInfo;
import org.apache.shiro.authc.AuthenticationToken;
import org.apache.shiro.authc.SimpleAuthenticationInfo;
import org.apache.shiro.authz.AuthorizationInfo;
import org.apache.shiro.authz.SimpleAuthorizationInfo;
import org.alm.AuthorizingRealm;
import org.apache.shiro.subject.PrincipalCollection;
import org.apache.shiro.util.ByteSource;
import org.springframework.beans.factory.annotation.Autowired;
import apache.ic.ACONST_NULL;
import cn.project.ssm.pojo.ActiveUser;
import cn.project.ssm.pojo.SysPermission;
import cn.project.ssm.pojo.SysUser;
import cn.project.ssm.service.LoginService;
/
**
*
* <p>
* Title: CustomRealm
* </p>
* <p>
* Description:⾃定义realm，实际开发中⼀般都是⾃定义realm
* </p>
* <p>
* Company: www.itcast
* </p>
*
* @date 2015-3-23下午4:54:47
* @version 1.0
*/
public class CustomRealm extends AuthorizingRealm {
@Autowired
private LoginService loginService;
// 设置realm的名称
@Override
public void setName(String name) {
super.setName("customRealm");
}
//⽤于认证
@Override
protected AuthenticationInfo doGetAuthenticationInfo(AuthenticationToken token) throws AuthenticationException {
//第⼀步：从token中取出⽤户名，这个⽤户名是⽤户在页⾯输⼊的信息，传递给token
String userCode=(String) Credentials();
//根据⽤户名查询⽤户信息
SysUser sysUser=null;
sysUser=loginService.findByUserCode(userCode);
if (sysUser==null) {
return null;
}
String Password();
//加盐
String Salt();
//将⽤户⾝份信息写⼊activeUser
ActiveUser activeUser=new ActiveUser();
activeUser.Id());
activeUser.Usercode());
springframework作用activeUser.Username());
//通过service取出菜单
List<SysPermission> menus= loginService.Id());
activeUser.setMenus(menus);
//写到这⾥我们看到realm其实主要是从数据库中获取数据
SimpleAuthenticationInfo simpleAuthenticationInfo=new SimpleAuthenticationInfo(activeUser,password,ByteSource.Util.bytes(salt), Name()); return simpleAuthenticationInfo;
}
//⽤于授权
@Override
protected AuthorizationInfo doGetAuthorizationInfo(PrincipalCollection principal) {
//从princal中获取主⾝份信息，将返回值转为真实的⾝份信息，填充到上⾯认证的⾝份中
ActiveUser activeUser=(ActiveUser) PrimaryPrincipal();
//从数据库中获取到权限数据
List<SysPermission> permissionsList = loginService.Userid());
List<String> permissions=new ArrayList<>();
for (SysPermission sysPermission : permissionsList) {
permissions.Percode());
}
//将集合内容填充认证中
SimpleAuthorizationInfo simpleAuthorizationInfo=new SimpleAuthorizationInfo();
simpleAuthorizationInfo.addStringPermissions(permissions);
return simpleAuthorizationInfo;
}
//清除缓存
public void clearCached() {
PrincipalCollection principals = Subject().getPrincipals();
super.clearCache(principals);
}
}
配置⽂件：
<?xml version="1.0" encoding="UTF-8"?>
<beans xmlns="/schema/beans"
xmlns:xsi="/2001/XMLSchema-instance" xmlns:mvc="/schema/mvc"
xmlns:context="/schema/context"
xmlns:aop="/schema/aop" xmlns:tx="/schema/tx"
xsi:schemaLocation="/schema/beans
/schema/beans/spring-beans-3.2.xsd
/schema/mvc
/schema/mvc/spring-mvc-3.2.xsd
/schema/context
/schema/context/spring-context-3.2.xsd
/schema/aop
/schema/aop/spring-aop-3.2.xsd
版权声明：本站内容均来自互联网，仅供演示用，请勿用于商业和其他非法用途。如果侵犯了您的权益请与我们联系QQ:729038198，我们将在24小时内删除。
发表评论