Spring MVC 急速集成 Shiro 实录

相信有很多的程序员，不愿意进行用户管理这块代码实现。

原因之一，不同的JavaEE 系统，用户管理都会有个性化的实现，逻辑很繁琐。

而且是系统门面，以后背锅的几率非常大，可谓是低收益高风险。

最近在系统中集成了 Shiro，感觉这个小家伙还是相当灵活的。

完善的用户认证和授权，干净的API，让人如沐春分。

Apache Shiro 作为一个强大而灵活的开源安全框架，它干净利落地处理身份认证，授权，企业会话管理和加密。

安全有时候是很复杂的，甚至是痛苦的，但它没有必要这样。框架应该尽可能掩盖复杂的地方，露出一个干净而直观的 API。

Apache Shiro 的首要目标是易于使用和理解。

以下是你可以用 Apache Shiro 所做的事情：

a.验证用户来核实他们的身份

b.对用户执行访问控制，如：

c.判断用户是否被分配了一个确定的安全角色。

d.判断用户是否被允许做某事。

e.在任何环境下使用 Session API，即使没有 Web 或 EJB 容器。

f.在身份验证，访问控制期间或在会话的生命周期，对事件作出反应。

g.聚集一个或多个用户安全数据的数据源，并作为一个单一的复合用户“视图”。

h.启用单点登录（SSO）功能。

i.并发登录管理（一个账号多人登录作踢人操作）。

j.为没有关联到登录的用户启用"Remember Me"服务。

…

以及更多——全部集成到紧密结合的易于使用的 API 中。

目前主流安全框架有 SpringSecurity 和 Shiro，相比于 SpringSecurity，Shiro 轻量化，简单容易上手。

SpringSecurity 太笨重了，难以上手，且只能在 Spring 里用，所以极力推荐Shiro。

本文重点描述集成过程，能让你迅速的将 Shiro 集成到 JavaEE 项目中,毕竟项目都挺紧张的。

1.前戏

Shiro 核心jar:

       <!--权限控制 shiro-->
        <dependency>
            <groupId>org.apache.shiro</groupId>
            <artifactId>shiro-spring</artifactId>
            <version>${shiro.version}</version>
        </dependency>
 
        <dependency>
            <groupId>org.apache.shiro</groupId>
            <artifactId>shiro-ehcache</artifactId>
            <version>${shiro.version}</version>
        </dependency>

JavaEE 应用开始的地方，web.xml 配置:

         <filter>
           <filter-name>shiroFilter</filter-name>
           <filter-class>
              org.springframework.web.filter.DelegatingFilterProxy
           </filter-class>
         </filter>
         <filter-mapping>
           <filter-name>shiroFilter</filter-name>
           <url-pattern>/*</url-pattern>
         </filter-mapping>

Spring-Shiro-context 配置应用启动的使用，会帮助你做很多事情：

   <!--Shiro 关键过滤器配置-->
    <bean id="shiroFilter" class="org.apache.shiro.spring.web.ShiroFilterFactoryBean">
        <property name="securityManager" ref="securityManager"/>
        <property name="loginUrl" value="/sys/login"/> <!--请求 Url 为 get方式-->
        <property name="successUrl" value="/sys/index"/>
        <property name="filters">
            <map>
                <entry key="authc" value-ref="formAuthenticationFilter"/>
            </map>
        </property>
        <property name="filterChainDefinitions" ref="shiroFilterChainDefinitions"/>
    </bean>
 
    <!-- Shiro 安全管理器 -->
    <bean id="securityManager" class="org.apache.shiro.web.mgt.DefaultWebSecurityManager">
        <property name="realm" ref="systemAuthorizingRealm"/>
        <property name="cacheManager" ref="shiroCacheManager"/>
    </bean>
 
    <!--自定义系统认证域-->
    <bean id="systemAuthorizingRealm" class="com.rambo.spm.core.shiro.SysAuthorizingRealm"/>
 
    <!--shiro ehcache缓存-->
    <bean id="shiroCacheManager" class="org.apache.shiro.cache.ehcache.EhCacheManager">
        <property name="cacheManager" ref="cacheManagerFactory"/>
    </bean>
 
    <!--扩展表单认证过滤器-->
    <bean id="formAuthenticationFilter" class="com.rambo.spm.core.shiro.FormAuthenticationFilter"/>
 
    <!--权限过滤链定义 -->
    <bean name="shiroFilterChainDefinitions" class="java.lang.String">
        <constructor-arg>
            <value>
                /static/** = anon
                /captcha-image = anon
                /sys/login = authc
                /sys/logout = logout
                /** =user
            </value>
        </constructor-arg>
    </bean>
 
    <!--借助 SpringAOP 扫描那些使用 Shiro 注解的类-->
    <aop:config proxy-target-class="true"/>
 
    <bean class="org.apache.shiro.spring.security.interceptor.AuthorizationAttributeSourceAdvisor">
        <property name="securityManager" ref="securityManager"/>
    </bean>
 
    <!--用于在实现了Initializable/Destroyable接口的 Shiro bean 初始化时回调-->
    <bean id="lifecycleBeanPostProcessor" class="org.apache.shiro.spring.LifecycleBeanPostProcessor"/>

2.个性化

请求发起的地方一般是前端，不管你是 .jsp/.php/.net.......方式都是类似

<html>
<body>
<h1>login page</h1>
<form id="" action="service/dologin" method="post">
    <label>账号:</label><input name="userName" maxLength="40"/>
    <input title="是否是管理员" type="checkbox" name="isAdmin"><label>是否为管理员</label><br>
    <label>密码：</label><input title="密码" type="password" name="password" /><br>
    <input type="submit" value="登录"/>
</form>
<%--用于输入后台返回的验证错误信息 --%>
<P><c:out value="${message }"/></P>
</body>
</html>

自定义项目验证域(验证域可以有多个，已可以有多种方式)。

public class SysAuthorizingRealm extends AuthorizingRealm {
    private Log log = LogFactory.get();
 
    @Autowired
    private SysUserService sysUserService;
 
    @Autowired
    private SysRoleService sysRoleService;
 
    @Autowired
    private SysMenuService sysMenuService;
 
    /**
     * 获取当前用户的认证信息
     *
     * @param authcToken 携带用户认证所需的信息
     * @return 认证结果信息
     */
    @Override
    protected AuthenticationInfo doGetAuthenticationInfo(AuthenticationToken authcToken) throws AuthenticationException {
        CaptchaUsernamePasswordToken spmToken = (CaptchaUsernamePasswordToken) authcToken;
        log.info("token:{}", ReflectionToStringBuilder.toString(spmToken));
 
        SysUser sysUser = sysUserService.getSysUserByLoginName(spmToken.getUsername());
        if (sysUser == null) {
            return null;
        }
        byte[] salt = Hex.decode(sysUser.getPasswd().substring(0, 16));
        return new SimpleAuthenticationInfo(new SpmPrincipal(sysUser), sysUser.getPasswd().substring(16), ByteSource.Util.bytes(salt), getName());
    }
 
    /**
     * 获取当前用户授权信息
     *
     * @param principals 该用户身份集合
     * @return 当前用户授权信息
     */
    @Override
    protected AuthorizationInfo doGetAuthorizationInfo(PrincipalCollection principals) {
        SpmPrincipal spmPrincipal = (SpmPrincipal) super.getAvailablePrincipal(principals);
        log.info("授权当前:{}", ReflectionToStringBuilder.toString(spmPrincipal));
 
        SimpleAuthorizationInfo info = new SimpleAuthorizationInfo();
 
        List<SysRole> sysRoleList = sysUserService.listSysRoleByUserId(spmPrincipal.getId());
        for (SysRole sysRole : sysRoleList) {
            info.addRole(sysRole.getRoleType());
 
            List<SysMenu> sysMenuList = sysRoleService.listSysMenuByRoleId(sysRole.getUuid());
            for (SysMenu sysMenu : sysMenuList) {
                info.addStringPermission(sysMenu.getPermisson());
            }
        }
        info.addStringPermission("user");
        return info;
    }
 
    /**
     * 设定密码校验的Hash算法与迭代次数
     */
    @PostConstruct
    public void initCredentialsMatcher() {
        HashedCredentialsMatcher matcher = new HashedCredentialsMatcher("SHA-1");
        matcher.setHashIterations(1024);
        setCredentialsMatcher(matcher);
    }
}

请求的后台服务，在这里你可以在进行一点业务逻辑

   /**
     * shiro 登录请求控制,真正的请求由 shiroFilter --> formAuthenticationFilter 进行处理
     * 登录成功: 跳转配置的 succssUrl,不触发该方法;
     * 登录失败: 触发该方法,可以从扩展的 formAuthenticationFilter 中获取具体的错误信息；
     */
    @PostMapping("/sys/login")
    public Object postSysLogin(HttpServletRequest httpRequest, ModelAndView modelAndView) {
        String exceptionName = (String) httpRequest.getAttribute(FormAuthenticationFilter.DEFAULT_ERROR_KEY_ATTRIBUTE_NAME);
 
        String errorMsg = null;
        if (IncorrectCaptchaException.class.getName().equals(exceptionName)) {
            errorMsg = "验证码错误!";
        } else if (UnknownAccountException.class.getName().equals(exceptionName)) {
            errorMsg = "用户不存在!";
        } else if (IncorrectCredentialsException.class.getName().equals(exceptionName)) {
            errorMsg = "用户或密码错误!";
        } else if (exceptionName != null && StrUtil.startWith(exceptionName, "msg:")) {
            errorMsg = StrUtil.removeAll(exceptionName, "msg:");
        }
        return setModelAndView(modelAndView, "sys/sysLogin", errorMsg);
    }

整个集成工作就结束了，是不是简单的不要不要的。

等下次项目经理指派你做用户管理的时候，只需要花半天的时间做设计。

借助Shiro 半天时间实现代码。

然后将剩下的时间，做做自己喜欢的其他研究工作。