【权限管理】Apache Shiro学习教程

Apache Shiro 是一个功能强大且灵活的安全框架,主要用于身份认证(Authentication)、授权(Authorization)、会话管理(Session Management)和加密(Cryptography)。它旨在为 Java 应用程序提供简单、强大且高效的安全功能,适用于从 Web 应用到企业级应用的多种场景。

在本教程中,我们将通过 Apache Shiro 的各个方面,详细介绍如何配置、使用和扩展该框架。


一、Apache Shiro 概述

Apache Shiro 提供了一套用于实现安全管理的完整解决方案,核心功能包括:

1. 认证(Authentication):用于确认用户的身份

Shiro 可以通过多种方式对用户进行认证。常见的认证方式包括基于用户名和密码的认证、集成 LDAP 服务器或使用其他外部身份验证系统。

2. 授权(Authorization):用于控制用户的访问权限

Shiro 提供了一种灵活的权限控制模型,可以基于用户的角色或特定的权限进行访问控制。它支持基于角色的访问控制(RBAC),还允许你为特定用户或资源设置细粒度的权限。

3. 会话管理(Session Management):管理用户会话

Shiro 提供了一种简便的方式来管理会话。与传统的 Servlet 容器会话不同,Shiro 可以在应用层级进行会话管理。它支持多种会话存储策略,并且会话数据可以自动持久化。

4. 加密(Cryptography):为应用程序提供数据保护

Shiro 包含加密 API,用于处理加密和解密、哈希处理等。它支持常见的加密算法(如 AES、RSA、SHA-256 等)并且可以方便地用于密码存储和安全通信。

Shiro 的设计理念是简单易用且高度可扩展。与其他 Java 安全框架相比,Shiro 的 API 设计简洁明了,配置简单,适合初学者和开发人员快速上手。开发人员只需关注核心的认证和授权逻辑,而无需过多关心底层的实现细节。Shiro 提供了许多可以定制和扩展的接口,允许开发人员根据应用需求来实现自定义的身份验证和授权逻辑。比如,用户可以自定义 Realm,以便与不同的数据源进行集成。同时它支持多种存储后端,如数据库、LDAP、文件系统等。


二、Apache Shiro 核心组件

  1. SecurityManager:核心接口,负责协调所有安全相关的操作(认证、授权、会话管理)。
  2. Subject:表示当前用户或应用的主体,提供身份验证和权限验证等功能。
  3. Realm:负责连接数据源(如数据库、LDAP)进行用户身份验证和权限验证的组件。它是 Shiro 中的“数据源”层。
  4. Session:用于管理用户会话的信息,可以与 Web 会话结合,也可以独立运行。
  5. AuthenticatorAuthorizer:分别负责认证和授权的逻辑实现。
  6. Cryptography:Shiro 提供了一套加密工具,用于保护敏感信息(如密码)。

三、使用 Apache Shiro 的基本步骤

1. 引入 Apache Shiro 依赖

Maven 依赖:

在你的 pom.xml 文件中添加 Shiro 依赖:

<dependency><groupId>org.apache.shiro</groupId><artifactId>shiro-core</artifactId><version>1.8.0</version> <!-- 选择适合的版本 -->
</dependency>

Gradle 依赖:
implementation 'org.apache.shiro:shiro-core:1.8.0'

2. 配置 Shiro

Shiro 的配置可以通过 XML 文件或 Java 配置类来实现。下面是通过 Java 配置类的示例:

@Configuration
@EnableAspectJAutoProxy
public class ShiroConfig {@Beanpublic SecurityManager securityManager() {DefaultWebSecurityManager securityManager = new DefaultWebSecurityManager();securityManager.setRealm(myRealm());return securityManager;}@Beanpublic Realm myRealm() {return new MyRealm();}@Beanpublic ShiroFilterFactoryBean shiroFilterFactoryBean() {ShiroFilterFactoryBean bean = new ShiroFilterFactoryBean();bean.setSecurityManager(securityManager());Map<String, String> filterChainDefinitionMap = new LinkedHashMap<>();filterChainDefinitionMap.put("/login", "anon"); // 公开的路径filterChainDefinitionMap.put("/**", "authc");  // 需要认证的路径bean.setFilterChainDefinitionMap(filterChainDefinitionMap);return bean;}
}

3. 创建自定义 Realm

Realm 是 Shiro 的关键组成部分,它负责从数据源获取用户身份信息(如用户名、密码等)并验证。

public class MyRealm extends AuthorizingRealm {@Overrideprotected AuthorizationInfo doGetAuthorizationInfo(PrincipalCollection principals) {String username = (String) principals.getPrimaryPrincipal();Set<String> roles = getRoles(username); // 从数据库获取角色Set<String> permissions = getPermissions(username); // 获取权限SimpleAuthorizationInfo authorizationInfo = new SimpleAuthorizationInfo();authorizationInfo.setRoles(roles);authorizationInfo.setStringPermissions(permissions);return authorizationInfo;}@Overrideprotected AuthenticationInfo doGetAuthenticationInfo(AuthenticationToken token) throws AuthenticationException {String username = (String) token.getPrincipal();String password = getPassword(username); // 从数据库获取密码if (password == null) {throw new UnknownAccountException("用户不存在");}return new SimpleAuthenticationInfo(username, password, getName());}private Set<String> getRoles(String username) {// 查询数据库,获取角色}private Set<String> getPermissions(String username) {// 查询数据库,获取权限}private String getPassword(String username) {// 查询数据库,获取密码}
}

4. 配置 Shiro 的过滤器

Shiro 使用过滤器来管理访问控制。通过 ShiroFilterFactoryBean 配置不同的 URL 路径与过滤器的关系。例如,指定哪些路径需要认证,哪些路径是公开的。

@Bean
public ShiroFilterFactoryBean shiroFilterFactoryBean() {ShiroFilterFactoryBean shiroFilterFactoryBean = new ShiroFilterFactoryBean();shiroFilterFactoryBean.setSecurityManager(securityManager());Map<String, String> filterChainDefinitionMap = new LinkedHashMap<>();filterChainDefinitionMap.put("/login", "anon");  // 登录页面可以匿名访问filterChainDefinitionMap.put("/logout", "logout");  // 登出filterChainDefinitionMap.put("/**", "authc");  // 其他路径需要认证shiroFilterFactoryBean.setFilterChainDefinitionMap(filterChainDefinitionMap);return shiroFilterFactoryBean;
}

5. 集成 Shiro 的认证与授权

登录验证

Shiro 提供了非常简单的 API 来执行身份验证。用户可以使用 Subject 来进行身份验证操作:

Subject currentUser = SecurityUtils.getSubject();
UsernamePasswordToken token = new UsernamePasswordToken(username, password);
try {currentUser.login(token);  // 执行登录
} catch (AuthenticationException e) {// 登录失败处理
}
访问控制(授权)

Shiro 使用权限控制来决定用户是否有权限执行特定的操作。例如:

Subject currentUser = SecurityUtils.getSubject();
if (currentUser.hasRole("admin")) {// 执行管理员操作
}
if (currentUser.isPermitted("user:update")) {// 执行更新操作
}

6. 会话管理

Shiro 提供了一个轻量级的会话管理机制,可以用于 Web 应用或任何 Java 应用中的会话管理。Shiro 会自动管理用户会话,用户的状态保存在一个 Session 中,应用可以通过 SecurityUtils.getSubject().getSession() 来获取。

Subject currentUser = SecurityUtils.getSubject();
currentUser.getSession().setAttribute("someKey", "someValue");
Object value = currentUser.getSession().getAttribute("someKey");

7. 加密和密码处理

Shiro 提供了内置的加密和密码哈希机制,用于安全地存储和验证密码。你可以使用 SimpleHashSha256Hash 类来对密码进行哈希操作:

String password = "myPassword";
String salt = "mySalt"; // 添加盐值
SimpleHash hash = new SimpleHash("SHA-256", password, salt);
String hashedPassword = hash.toHex();

通过这种方式,密码可以在数据库中以哈希值的形式存储,而不是明文密码。


四、进阶功能与最佳实践

  1. 集成与 Spring Security:Shiro 和 Spring Security 都是常用的 Java 安全框架,可以通过配置和扩展将两者结合使用,提升系统的安全性。
  2. 自定义认证和授权逻辑:通过自定义 Realm,你可以根据自己的业务需求实现更加复杂的认证和授权逻辑。
  3. 多种认证机制:Shiro 支持各种认证方式,包括表单认证、Basic 认证、JWT 等。
  4. 跨域认证:Shiro 允许在分布式系统中使用共享会话,支持跨域认证。
  5. 持久化会话:Shiro 允许将用户会话存储在数据库或缓存中,以支持分布式会话管理。

五、总结

Apache Shiro 是一个功能丰富、灵活且易于使用的安全框架,适用于各种类型的 Java 应用。通过简单的配置和扩展,你可以快速集成认证、授权、会话管理和加密功能,并能够满足复杂的安全需求。Shiro 适用于从小型应用到大型企业系统的各类场景,是构建安全系统的理想选择。

本文来自互联网用户投稿,该文观点仅代表作者本人,不代表本站立场。本站仅提供信息存储空间服务,不拥有所有权,不承担相关法律责任。如若转载,请注明出处:http://www.mzph.cn/diannao/66667.shtml

如若内容造成侵权/违法违规/事实不符,请联系多彩编程网进行投诉反馈email:809451989@qq.com,一经查实,立即删除!

相关文章

Spring事件发布与监听

Spring事件机制详解&#xff1a;事件发布与监听 在Spring框架中&#xff0c;事件机制基于发布-订阅模式&#xff0c;允许组件之间进行解耦。发布者发布事件&#xff0c;监听者订阅并响应这些事件。Spring事件机制的核心在于ApplicationEvent和ApplicationListener&#xff0c;…

ClickHouse vs StarRocks 选型对比

一、面向列存的 DBMS 新的选择 Hadoop 从诞生已经十三年了&#xff0c;Hadoop 的供应商争先恐后的为 Hadoop 贡献各种开源插件&#xff0c;发明各种的解决方案技术栈&#xff0c;一方面确实帮助很多用户解决了问题&#xff0c;但另一方面因为繁杂的技术栈与高昂的维护成本&…

Win11家庭版转专业版

Win11家庭版转专业版&#xff08;亲测有效&#xff09; 第一步 【断网】输入这个密钥&#xff1a; R8NJ8-9X7PV-C7RCR-F3J9X-KQBP6 第二步 点击下一步会自动重启 第三步 【联网】输入这个密钥&#xff1a; F3NWX-VFMFC-MHYYF-BCJ3K-QV66Y 注意 两次输入密钥的地方一致 …

TypeScript语言的网络编程

TypeScript语言的网络编程 引言 在现代软件开发中&#xff0c;网络编程是一个不可或缺的部分。随着互联网的快速发展&#xff0c;网络应用程序越来越普遍&#xff0c;涉及到从简单的个人网站到复杂的企业级应用。TypeScript作为一种强类型的JavaScript超集&#xff0c;近年来…

在高德地图上加载3DTilesLayer图层模型/天地瓦片

1. 引入必要的库 Three.js&#xff1a;一个用于创建和显示3D图形的JavaScript库。vuemap/three-layer&#xff1a;一个Vue插件&#xff0c;它允许你在高德地图中添加Three.js图层。vuemap/layer-3dtiles&#xff1a;一个用于处理3D Tiles格式数据的Vue插件&#xff0c;可以用来…

Linux 高级路由 —— 筑梦之路

Linux 高级路由详解 本文将基于您提供的 Linux 高级路由极简教程 文章&#xff0c;深入探讨 Linux 高级路由的概念、配置方法以及应用场景。 一、什么是 Linux 高级路由&#xff1f; Linux 高级路由是指利用 Linux 内核提供的强大网络功能&#xff0c;实现超越传统路由表和默…

IP 地址与蜜罐技术

基于IP的地址的蜜罐技术是一种主动防御策略&#xff0c;它能够通过在网络上布置的一些看似正常没问题的IP地址来吸引恶意者的注意&#xff0c;将恶意者引导到预先布置好的伪装的目标之中。 如何实现蜜罐技术 当恶意攻击者在网络中四处扫描&#xff0c;寻找可入侵的目标时&…

【Word_笔记】Word的修订模式内容改为颜色标记

需求如下&#xff1a;请把修改后的部分直接在原文标出来&#xff0c;不要采用修订模式 步骤1&#xff1a;打开需要转换的word后&#xff0c;同时按住alt和F11 进入&#xff08;Microsoft Visual Basic for Appliations&#xff09; 步骤2&#xff1a;插入 ---- 模块 步骤3&…

[0405].第05节:搭建Redis主从架构

Redis学习大纲 一、3主3从的集群配置&#xff1a; 1.1.集群规划 1.分片集群需要的节点数量较多&#xff0c;这里我们搭建一个最小的分片集群&#xff0c;包含3个master节点&#xff0c;每个master包含一个slave节点&#xff0c;结构如下&#xff1a; 2.每组是一主一从&#x…

科研绘图系列:R语言绘制分组箱线图(boxplot)

禁止商业或二改转载,仅供自学使用,侵权必究,如需截取部分内容请后台联系作者! 文章目录 介绍加载R包数据下载导入数据数据预处理画图输出系统信息介绍 科研绘图系列:R语言绘制分组箱线图(boxplot) 加载R包 library(ggpubr) library(ggplot2) library(tidyverse) # dev…

Hadoop - MapReduce编程

文章目录 前言一、创建mapreduce-demo项目1. 在idea上创建maven项目2. 导入hadoop相关依赖 二、MapReduce编程1. 相关介绍1.1 驱动类&#xff08;Driver Class&#xff09;1.1.1 驱动类的定义1.1.2 驱动类的功能1.1.3 驱动类的作用 1.2 Mapper1.2.1 Mapper 的定义1.2.2 Mapper …

原码的乘法运算>>>只有0,1

MQ : 乘数 X : 被乘数 ACC : 乘积高位 [当前位是1,加上被乘数; 当前位是 0,加上0] 例如: MQ的最低位是1,所以要加上被乘数(01101) >>>> 得出 01101 >>>>> ACC MQ 需要整体逻辑右移 (原本01101 01011 >>> 001101 0101) 现在的次低位是…

第四、五章图论和网络爬虫+网络搜索

第四章 图论和网络爬虫 4.1 构建网络爬虫工程重点 构建网络爬虫的重点 用BFS还是DFS 在不考虑时间的情况下&#xff0c;这两种不同的搜索方法都可以在相同的时间下爬下整个静态的互联网内容&#xff0c;但是在现实中肯定是需要考虑时间以及互联网动态变化的。所以重点应该是如…

mapbox基础,style样式汇总,持续更新

&#x1f468;‍⚕️ 主页&#xff1a; gis分享者 &#x1f468;‍⚕️ 感谢各位大佬 点赞&#x1f44d; 收藏⭐ 留言&#x1f4dd; 加关注✅! &#x1f468;‍⚕️ 收录于专栏&#xff1a;mapbox 从入门到精通 文章目录 一、&#x1f340;前言二、&#x1f340;根属性2.1 so…

《通过财报看企业》

“借贷关系”“净资产收益率”“财务报表”、净利润、盈利能力、现金流 第1章 净利润&#xff1a;决定一家公司的股价能涨多高 企业经营&#xff1a;存货周转率 企业市值&#xff1a;市值净利润市盈率 龙头企业&#xff1a;行业内收入规模最大、盈利能力最强&#xff0c;…

人工智能知识分享第九天-机器学习_集成学习

集成学习 概念 集成学习是机器学习中的一种思想&#xff0c;它通过多个模型的组合形成一个精度更高的模型&#xff0c;参与组合的模型称为弱学习器&#xff08;基学习器&#xff09;。训练时&#xff0c;使用训练集依次训练出这些弱学习器&#xff0c;对未知的样本进行预测时…

《量子比特大阅兵:不同类型量子比特在人工智能领域的优劣势剖析》

在科技的前沿&#xff0c;量子比特与人工智能的融合正开启一扇全新的大门。不同类型的量子比特&#xff0c;如超导、离子阱、光量子等&#xff0c;在与人工智能结合时展现出独特的优势与劣势。 超导量子比特 超导量子比特是目前应用较为广泛且研究相对成熟的量子比特类型。它…

【HTML+CSS+JS+VUE】web前端教程-10-列表标签之无序列表

无序列表实现 无序列表是一个项目的列表,此列项目使用粗体圆点(典型的小黑圆圈)进行标记 无序列表始于<ul>标签,每个列表项始于<li>标签。<ul><li>苹果

页面滚动下拉时,元素变为fixed浮动,上拉到顶部时恢复原状,js代码以视频示例

页面滚动下拉时,元素变为fixed浮动js代码 以视频示例 <style>video{width:100%;height:auto}.div2,#float1{position:fixed;_position:absolute;top:45px;right:0; z-index:250;}button{float:right;display:block;margin:5px} </style><section id"abou…

微信小程序中调用阿里云 OSS(Object Storage Service)上传文件

在微信小程序中调用阿里云 OSS&#xff08;Object Storage Service&#xff09;上传文件&#xff0c;可以通过以下步骤实现。由于微信小程序的运行环境是浏览器环境的一个子集&#xff0c;因此需要使用适合小程序的 OSS SDK 或手动实现上传逻辑。 1. 准备工作 1.1 获取阿里云 …