菜鸟手把手学Shiro之shiro认证流程

一.使用的spring boot +mybatis-plus+shiro+maven来搭建项目框架

 <!--shiro-->
         <dependency>
             <groupId>org.apache.shiro</groupId>
             <artifactId>shiro-core</artifactId>
             <version>1.4.0</version>
         </dependency>
         <dependency>
             <groupId>org.apache.shiro</groupId>
             <artifactId>shiro-spring</artifactId>
             <version>1.4.0</version>
         </dependency>

2.写一个登录页面（登录页面代码就自己随便写一个form表单提交到controller就行）

3.在controller中创建userLogin方法，创建UsernamePasswordToken，获取subject,通过subject.login来进行登录认证。

 @Slf4j
 @RestController
 @RequestMapping("/sys-user")
 public class SysUserController {

     /**
      * 用户登录
      * @param userName
      * @param password
      */
     @PostMapping(value = "/login")
     public ServerResponse userLogin(@RequestParam String userName, @RequestParam String password)
     {
         //1.获取token
         UsernamePasswordToken token = new UsernamePasswordToken(userName,password);
         //2.获取subject
         Subject subject = SecurityUtils.getSubject();
         //3.进行登录
         try {
             subject.login(token);
             log.info("subject:"+subject.getPrincipal().toString());
             return ServerResponse.createBySuccessMessage("登录成功!");
         }catch (Exception e)
         {
             log.error("登录失败，用户名[{}]", userName, e);
             token.clear();
             return ServerResponse.createByErrorMessage(e.getMessage());
         }
     }

以上就是一个基本的登录流程，下面就继续分析subject.login()方法，到底怎么实现登录认证的，在后续中逐步分析如何使用自定义的Realm和CredentialsMatcher密码比较器.

首先，我们从外部来看 Shiro 吧，即从应用程序角度的来观察如何使用 Shiro 完成工作。如下图：(引用自《跟我学shiro教程》)

4.通过代码跟踪可以发现，subject.login()方法又调用了securityManager.login()方法，因此我们还需要一个注册一个securityManager的bean交给spring去管理

5.创建一个config的package,便于管理，项目结构如下

6.创建一个ShiroConfig的类，用来配置shiro相关的bean,首先使用@Configuration注解表明这是一个配置类，并注册一个securityManager的bean,发现传入参数是一个MyRealm的类，这个类就是我们需要自己去定义的Realm类

  //配置核心安全事务管理器
     /**
      * securityManager
      * @param authRealm ，@Qualifier表明了哪个实现类才是我们所需要的
      * @return
      */
     @Bean(name="securityManager")
     public SecurityManager securityManager(@Qualifier("myRealm") MyRealm authRealm) {

         DefaultSecurityManager securityManager = new DefaultWebSecurityManager();

         //设置Realm
         securityManager.setRealm(authRealm);
         securityManager.setRememberMeManager(rememberMeManager());
         return securityManager;
     }
     //配置自定义的权限登录器
     @Bean
     public MyRealm myRealm()
     {
         MyRealm myRealm = new MyRealm();
         myRealm.setCredentialsMatcher(new CredentialsMatcher());
         return myRealm;
     }

7.创建类Realm类并继承AuthorizingRealm类，然后通过token中的Principal(即用户名)去查询数据库中User,然后再把查询到的用户信息（包括密码）返回AuthorizationInfo

自定义MyRealm类继承thorizingRealm类，并且重写doGetAuthenticationInfo方法

 public class    MyRealm extends AuthorizingRealm{

     @Autowired
     private SysUserServiceImpl sysUserService;
     //授权
     @Override
     protected AuthorizationInfo doGetAuthorizationInfo(PrincipalCollection principals) {
         return null;
     }

     //认证
     @Override
     protected AuthenticationInfo doGetAuthenticationInfo(AuthenticationToken token) throws AuthenticationException {
         /**获取用户输入的用户信息*/
         String userName = (String)token.getPrincipal();
         QueryWrapper<SysUser> queryWrapper = new QueryWrapper<SysUser>();

         queryWrapper.eq("username",userName);

         SysUser user = sysUserService.getOne(queryWrapper);

         if(user == null)
         {
             throw new UnknownAccountException("该用户不存在");
         }
         if(user.getStatus() != null && Const.UserStatusEnum.DISABLE.getCode().equals(user.getStatus()))
         {
             throw  new LockedAccountException("该账号被锁定，请联系管理员！");
         }
         //把user信息放在session中
         SecurityUtils.getSubject().getSession().setAttribute(Const.CURRENT_USER,user);
         return new SimpleAuthenticationInfo(user,user.getPassword(), ByteSource.Util.bytes(userName),getName());
     }
 }

如果身份认证失败就会捕获AuthenticationException，常见的如下：

DisabledAccountException（禁用的帐号）

LockedAccountException（锁定的帐号）

UnknownAccountException（错误的帐号）

ExcessiveAttemptsException（登录失败次数过多）

IncorrectCredentialsException （错误的凭证）

ExpiredCredentialsException（过期的凭证）等

如果身份认证通过后就要进行密码认证

自定义一个CredentialsMatcher类继承SimpleCredentialsMatcher类,并且重写doCredentiaIsMatch方法

以上就是shiro的基本登录认证流程，如有不当之处还望大家多多指教。