认证思路

  1. 调用 SecurityUtils.getSubject() 方法,获取当前的 Subject 对象 ;

  2. 调用 Subject.isAuthenticated() 测试当前的用户,即 Subject 是否以及被认证,即是否登录 ;

  3. 如果没有被认证,则进行认证操作;

  4. 将用户名和密码封装成 UsernamePasswordToken 对象;

  5. 自定义 Realm 的方法,从数据库获取对应的记录,返回给 shiro

    如果是仅仅完成登录,则继承 AuthenticatingRealm 类,实现 doGetAuthenticationInfo(AuthenticationToken) 方法 ;

  6. 调用 Subject.login(AuthenticationToken) 方法,执行登录 ;

  7. shiro 完成密码的比对 。


自定义用于登录检验的Realm的思路

在认证的时候, Subject.login(AuthenticationToken) 方法,传进去的参数,最终被传到了 AuthenticatingRealm 的自定义子类中,用于认证的方法中;

  1. 将方法中token参数,强转为 UsernamePasswordToken 对象;

  2. UsernamePasswordToken 中获取 用户名 ;

  3. 调用数据库方法,获取此用户名对用的记录;

  4. 如若此用户不存在,则抛出 UnknownAccountException 异常;

  5. 用户存在的情况下,根据实际情况看是否需要抛出其他 AuthenticationException 异常,比如:用户被锁定异常

  6. 根据用户情况,构建 AuthenticationInfo 对象返回,最常用的是实现类是:SimpleAuthenticationInfo

    如果不需要进行盐值加密,则调用有三个参数的构造器;

    1. principal : 认证的实体信息,也就上面我们是使用什么信息进行认证,比如这里就是使用 用户名 ;
    2. credentials:数据库中保存的密码;
    3. realmName:当前 realm 的名字,调用父类的 getName() 方法即可 ;

代码实现

控制器代码:

 @RequestMapping(value = "/isAllowLogin", method = {RequestMethod.POST})
@ResponseBody
public String isAllowLogin(@RequestParam("username") String username, @RequestParam("password") String password) throws IOException {
JSONObject jsonObject = new JSONObject();
Subject subject = SecurityUtils.getSubject();
if (!subject.isAuthenticated()) {
UsernamePasswordToken token = new UsernamePasswordToken(username, password);
try {
subject.login(token);
} catch (AuthenticationException e) {
jsonObject.put("result", "0");
return jsonObject.toJSONString();
}
} jsonObject.put("result", "1");
return jsonObject.toJSONString();
}

自定义Realm代码:

@Service
public class ShiroRealm extends AuthenticatingRealm { @Autowired
private UserMapper userMapper; @Override
protected AuthenticationInfo doGetAuthenticationInfo(AuthenticationToken authenticationToken) throws AuthenticationException {
UsernamePasswordToken token = (UsernamePasswordToken) authenticationToken;
String username = token.getUsername(); User user = userMapper.findUserByName(username);
if (null == user) {
throw new UnknownAccountException("用户名或密码错误");
}
String password = user.getUserPass();
AuthenticationInfo info = new SimpleAuthenticationInfo(username, password, getName()); return info;
}
}

后记

shiro 的校验通过以后,同一个 session 对应的浏览器再次输入 任意登录信息 都会校验通过,这是 shiro 拿缓存了,没有走 realm 校验 ;

要想登出,可以使用在受保护页面那里配置一个 logout 进行登出操作;

   <property name="filterChainDefinitions">
<value>
/logout.action = logout
...
....
...
</value>
</property>

这里注意,前面的路径随便写,无论其存在不存在,只要后面写成 logout 就行, shiro 就会执行登出操作;其原理应该是销毁了对应的 session

(三)shiro的认证的更多相关文章

  1. Apache shiro集群实现 (三)shiro身份认证(Shiro Authentication)

    Apache shiro集群实现 (一) shiro入门介绍 Apache shiro集群实现 (二) shiro 的INI配置 Apache shiro集群实现 (三)shiro身份认证(Shiro ...

  2. Shiro入门之一 -------- Shiro权限认证与授权

    一  将Shirojar包导入web项目 二 在web.xml中配置shiro代理过滤器 注意: 该过滤器需要配置在struts2过滤器之前 <!-- 配置Shiro的代理过滤器 -->  ...

  3. spring boot(十四)shiro登录认证与权限管理

    这篇文章我们来学习如何使用Spring Boot集成Apache Shiro.安全应该是互联网公司的一道生命线,几乎任何的公司都会涉及到这方面的需求.在Java领域一般有Spring Security ...

  4. springboot+mybatis+shiro——登录认证和权限控制

    转载:https://z77z.oschina.io/ 一.引入依赖 shiro-all包含shiro所有的包.shiro-core是核心包.shiro-web是与web整合.shiro-spring ...

  5. Shiro 登录认证源码详解

    Shiro 登录认证源码详解 Apache Shiro 是一个强大且灵活的 Java 开源安全框架,拥有登录认证.授权管理.企业级会话管理和加密等功能,相比 Spring Security 来说要更加 ...

  6. Shiro身份认证---转

    目录 1. Shro的概念 2. Shiro的简单身份认证实现 3. Shiro与spring对身份认证的实现 前言: Shiro 可以非常容易的开发出足够好的应用,其不仅可以用在 JavaSE 环境 ...

  7. Shiro身份认证、盐加密

    目的: Shiro认证 盐加密工具类 Shiro认证 1.导入pom依赖 <dependency> <groupId>org.apache.shiro</groupId& ...

  8. SpringBoot整合Shiro完成认证

    三.SpringBoot整合Shiro思路 首先从客户端发来的所有请求都经过Shiro过滤器,如果用户没有认证的都打回去进行认证,认证成功的,再判断是否具有访问某类资源(公有资源,私有资源)的权限,如 ...

  9. 射频识别技术漫谈(12)——三次相互认证【worldsing笔记】

    射频识别系统中由于卡片和读写器并不是固定连接为一个不可分割的整体,二者在进行数据通讯前如何确信对方的合法身份就变得非常重要.根据安全级别的要求不同,有的系统不需认证对方的身份,例如大多数的TTF模式的 ...

  10. 阿里云API网关(11)API的三种安全认证方式

    网关指南: https://help.aliyun.com/document_detail/29487.html?spm=5176.doc48835.6.550.23Oqbl 网关控制台: https ...

随机推荐

  1. java并发编程学习博客

    http://www.blogjava.net/xylz/archive/2010/07/08/325587.html 经典

  2. 详解Azure的权限控制

    注意:本文档仅限于Azure国际版,国内版略有不同   Azure中的角色分配相对来说是比较复杂的的,对于任何云组织来说,云的资源访问管理权限都是一项非常重要的功能,azure中的授权系统叫做基于角色 ...

  3. 【转】Android检查手机是否被root

    目前来说Android平台并没有提供能够root检查的工具.但是我们可以通过两种方式来判断 手机里面是否有su文件 这个su文件是不是能够执行 但是这两种检查方式都存在缺点. 第一种存在误测和漏测的情 ...

  4. MiniUI treeGrid 树节点展开和不展开的性能差别很大

    参考API: http://miniui.com/docs/api/index.html#ui=datagrid http://miniui.com/docs/api/index.html#ui=tr ...

  5. python中修改列表元素的方法

    一.在for循环中直接更改列表中元素的值不会起作用: 如: l = list(range(10)[::2]) print (l) for n in l: n = 0 print (l) 运行结果: [ ...

  6. html两端对齐的代码

    html语言两端对齐的代码为: <p style="text-align:justify; text-justify:inter-ideograph;"> 文字,需要对 ...

  7. IDEA子项目的相互依赖

    A项目依赖B项目 一.B项目打包,执行install 这一步其实就是把你的项目打包到本地仓库,你可以在本地仓库看到相应的jar包 二.在A项目的pom.xml引入依赖可以了 当B项目修改后,需要重新打 ...

  8. Spring cloud微服务安全实战-3-12session固定攻击防护

    getSession这个方法里面的逻辑,会根据传过来的cookie里面带的JSessionID在你的服务器上去找一个session,如果能找到,就用这个已经存在的session,这个getSessio ...

  9. response.getWriter().write的用法

    /** * 获取手机验证码的方法 */ var loopObjBindMobil = null; var secondsBindMobil = 0; function hqBindYzm(moblie ...

  10. 报错:Exception: org.apache.sqoop.common.SqoopException Message: DRIVER_0002:Given job is already running - Job with id 1

    报错背景: 创建完成job之后,执行job的时候报错. 报错现象: Exception: org.apache.sqoop.common.SqoopException Message: CLIENT_ ...