第二章 身份驗證——《跟我學Shiro》[張開濤]
身份驗證,即在應用中誰能證明他就是他本人。一般提供如他們的身份ID一些標識資訊來表明他就是他本人,如提供身份證,使用者名稱/密碼來證明。
在shiro中,使用者需要提供principals (身份)和credentials(證明)給shiro,從而應用能驗證使用者身份:
principals:身份,即主體的標識屬性,可以是任何東西,如使用者名稱、郵箱等,唯一即可。一個主體可以有多個principals,但只有一個Primary principals,一般是使用者名稱/密碼/手機號。
credentials:證明/憑證,即只有主體知道的安全值,如密碼/數字證書等。
最常見的principals和credentials組合就是使用者名稱/密碼了。接下來先進行一個基本的身份認證。
另外兩個相關的概念是之前提到的Subject及Realm,分別是主體及驗證主體的資料來源。
2.2 環境準備
本文使用Maven構建,因此需要一點Maven知識。首先準備環境依賴:
Java程式碼![收藏程式碼](http://jinnianshilongnian.iteye.com/images/icon_star.png)
- <dependencies>
- <dependency>
- <groupId>junit</groupId>
- <artifactId>junit</artifactId>
- <version>4.9</version>
- </dependency>
- <dependency>
- <groupId>commons-logging</groupId>
- <artifactId>commons-logging</artifactId>
- <version>1.1.3</version>
- </dependency>
- <dependency>
- <groupId>org.apache.shiro</groupId>
- <artifactId>shiro-core</artifactId>
- <version>1.2.2</version>
- </dependency>
- </dependencies>
新增junit、common-logging及shiro-core依賴即可。
2.3 登入/退出
1、首先準備一些使用者身份/憑據(shiro.ini)
Java程式碼![收藏程式碼](http://jinnianshilongnian.iteye.com/images/icon_star.png)
- [users]
- zhang=123
- wang=123
此處使用ini配置檔案,通過[users]指定了兩個主體:zhang/123、wang/123。
2、測試用例(com.github.zhangkaitao.shiro.chapter2.LoginLogoutTest)
Java程式碼![收藏程式碼](http://jinnianshilongnian.iteye.com/images/icon_star.png)
- @Test
- public void testHelloworld() {
- //1、獲取SecurityManager工廠,此處使用Ini配置檔案初始化SecurityManager
- Factory<org.apache.shiro.mgt.SecurityManager> factory =
- new IniSecurityManagerFactory("classpath:shiro.ini");
- //2、得到SecurityManager例項 並繫結給SecurityUtils
- org.apache.shiro.mgt.SecurityManager securityManager = factory.getInstance();
- SecurityUtils.setSecurityManager(securityManager);
- //3、得到Subject及建立使用者名稱/密碼身份驗證Token(即使用者身份/憑證)
- Subject subject = SecurityUtils.getSubject();
- UsernamePasswordToken token = new UsernamePasswordToken("zhang", "123");
- try {
- //4、登入,即身份驗證
- subject.login(token);
- } catch (AuthenticationException e) {
- //5、身份驗證失敗
- }
- Assert.assertEquals(true, subject.isAuthenticated()); //斷言使用者已經登入
- //6、退出
- subject.logout();
- }
2.1、首先通過new IniSecurityManagerFactory並指定一個ini配置檔案來建立一個SecurityManager工廠;
2.2、接著獲取SecurityManager並繫結到SecurityUtils,這是一個全域性設定,設定一次即可;
2.3、通過SecurityUtils得到Subject,其會自動繫結到當前執行緒;如果在web環境在請求結束時需要解除繫結;然後獲取身份驗證的Token,如使用者名稱/密碼;
2.4、呼叫subject.login方法進行登入,其會自動委託給SecurityManager.login方法進行登入;
2.5、如果身份驗證失敗請捕獲AuthenticationException或其子類,常見的如: DisabledAccountException(禁用的帳號)、LockedAccountException(鎖定的帳號)、UnknownAccountException(錯誤的帳號)、ExcessiveAttemptsException(登入失敗次數過多)、IncorrectCredentialsException (錯誤的憑證)、ExpiredCredentialsException(過期的憑證)等,具體請檢視其繼承關係;對於頁面的錯誤訊息展示,最好使用如“使用者名稱/密碼錯誤”而不是“使用者名稱錯誤”/“密碼錯誤”,防止一些惡意使用者非法掃描帳號庫;
2.6、最後可以呼叫subject.logout退出,其會自動委託給SecurityManager.logout方法退出。
從如上程式碼可總結出身份驗證的步驟:
1、收集使用者身份/憑證,即如使用者名稱/密碼;
2、呼叫Subject.login進行登入,如果失敗將得到相應的AuthenticationException異常,根據異常提示使用者錯誤資訊;否則登入成功;
3、最後呼叫Subject.logout進行退出操作。
如上測試的幾個問題:
1、使用者名稱/密碼硬編碼在ini配置檔案,以後需要改成如資料庫儲存,且密碼需要加密儲存;
2、使用者身份Token可能不僅僅是使用者名稱/密碼,也可能還有其他的,如登入時允許使用者名稱/郵箱/手機號同時登入。
2.4 身份認證流程
流程如下:
1、首先呼叫Subject.login(token)進行登入,其會自動委託給Security Manager,呼叫之前必須通過SecurityUtils. setSecurityManager()設定;
2、SecurityManager負責真正的身份驗證邏輯;它會委託給Authenticator進行身份驗證;
3、Authenticator才是真正的身份驗證者,Shiro API中核心的身份認證入口點,此處可以自定義插入自己的實現;
4、Authenticator可能會委託給相應的AuthenticationStrategy進行多Realm身份驗證,預設ModularRealmAuthenticator會呼叫AuthenticationStrategy進行多Realm身份驗證;
5、Authenticator會把相應的token傳入Realm,從Realm獲取身份驗證資訊,如果沒有返回/丟擲異常表示身份驗證失敗了。此處可以配置多個Realm,將按照相應的順序及策略進行訪問。
2.5 Realm
Realm:域,Shiro從從Realm獲取安全資料(如使用者、角色、許可權),就是說SecurityManager要驗證使用者身份,那麼它需要從Realm獲取相應的使用者進行比較以確定使用者身份是否合法;也需要從Realm得到使用者相應的角色/許可權進行驗證使用者是否能進行操作;可以把Realm看成DataSource,即安全資料來源。如我們之前的ini配置方式將使用org.apache.shiro.realm.text.IniRealm。
org.apache.shiro.realm.Realm介面如下:
Java程式碼![收藏程式碼](http://jinnianshilongnian.iteye.com/images/icon_star.png)
- String getName(); //返回一個唯一的Realm名字
- boolean supports(AuthenticationToken token); //判斷此Realm是否支援此Token
- AuthenticationInfo getAuthenticationInfo(AuthenticationToken token)
- throws AuthenticationException; //根據Token獲取認證資訊
單Realm配置
1、自定義Realm實現(com.github.zhangkaitao.shiro.chapter2.realm.MyRealm1):
Java程式碼![收藏程式碼](http://jinnianshilongnian.iteye.com/images/icon_star.png)
- public class MyRealm1 implements Realm {
- @Override
- public String getName() {
- return "myrealm1";
- }
- @Override
- public boolean supports(AuthenticationToken token) {
- //僅支援UsernamePasswordToken型別的Token
- return token instanceof UsernamePasswordToken;
- }
- @Override
- public AuthenticationInfo getAuthenticationInfo(AuthenticationToken token) throws AuthenticationException {
- String username = (String)token.getPrincipal(); //得到使用者名稱
- String password = new String((char[])token.getCredentials()); //得到密碼
- if(!"zhang".equals(username)) {
- throw new UnknownAccountException(); //如果使用者名稱錯誤
- }
- if(!"123".equals(password)) {
- throw new IncorrectCredentialsException(); //如果密碼錯誤
- }
- //如果身份認證驗證成功,返回一個AuthenticationInfo實現;
- return new SimpleAuthenticationInfo(username, password, getName());
- }
- }
2、ini配置檔案指定自定義Realm實現(shiro-realm.ini)
Java程式碼![收藏程式碼](http://jinnianshilongnian.iteye.com/images/icon_star.png)
- #宣告一個realm
- myRealm1=com.github.zhangkaitao.shiro.chapter2.realm.MyRealm1
- #指定securityManager的realms實現
- securityManager.realms=$myRealm1
通過$name來引入之前的realm定義
3、測試用例請參考com.github.zhangkaitao.shiro.chapter2.LoginLogoutTest的testCustomRealm測試方法,只需要把之前的shiro.ini配置檔案改成shiro-realm.ini即可。
多Realm配置
1、ini配置檔案(shiro-multi-realm.ini)
Java程式碼![收藏程式碼](http://jinnianshilongnian.iteye.com/images/icon_star.png)
- #宣告一個realm
- myRealm1=com.github.zhangkaitao.shiro.chapter2.realm.MyRealm1
- myRealm2=com.github.zhangkaitao.shiro.chapter2.realm.MyRealm2
- #指定securityManager的realms實現
- securityManager.realms=$myRealm1,$myRealm2
securityManager會按照realms指定的順序進行身份認證。此處我們使用顯示指定順序的方式指定了Realm的順序,如果刪除“securityManager.realms=$myRealm1,$myRealm2”,那麼securityManager會按照realm宣告的順序進行使用(即無需設定realms屬性,其會自動發現),當我們顯示指定realm後,其他沒有指定realm將被忽略,如“securityManager.realms=$myRealm1”,那麼myRealm2不會被自動設定進去。
2、測試用例請參考com.github.zhangkaitao.shiro.chapter2.LoginLogoutTest的testCustomMultiRealm測試方法。
Shiro預設提供的Realm
以後一般繼承AuthorizingRealm(授權)即可;其繼承了AuthenticatingRealm(即身份驗證),而且也間接繼承了CachingRealm(帶有快取實現)。其中主要預設實現如下:
org.apache.shiro.realm.text.IniRealm:[users]部分指定使用者名稱/密碼及其角色;[roles]部分指定角色即許可權資訊;
org.apache.shiro.realm.text.PropertiesRealm: user.username=password,role1,role2指定使用者名稱/密碼及其角色;role.role1=permission1,permission2指定角色及許可權資訊;
org.apache.shiro.realm.jdbc.JdbcRealm:通過sql查詢相應的資訊,如“select password from users where username = ?”獲取使用者密碼,“select password, password_salt from users where username = ?”獲取使用者密碼及鹽;“select role_name from user_roles where username = ?”獲取使用者角色;“select permission from roles_permissions where role_name = ?”獲取角色對應的許可權資訊;也可以呼叫相應的api進行自定義sql;
JDBC Realm使用
1、資料庫及依賴
Java程式碼![收藏程式碼](http://jinnianshilongnian.iteye.com/images/icon_star.png)
- <dependency>
- <groupId>mysql</groupId>
- <artifactId>mysql-connector-java</artifactId>
- <version>5.1.25</version>
- </dependency>
- <dependency>
- <groupId>com.alibaba</groupId>
- <artifactId>druid</artifactId>
- <version>0.2.23</version>
- </dependency>
本文將使用mysql資料庫及druid連線池;
2、到資料庫shiro下建三張表:users(使用者名稱/密碼)、user_roles(使用者/角色)、roles_permissions(角色/許可權),具體請參照shiro-example-chapter2/sql/shiro.sql;並新增一個使用者記錄,使用者名稱/密碼為zhang/123;
3、ini配置(shiro-jdbc-realm.ini)
Java程式碼![收藏程式碼](http://jinnianshilongnian.iteye.com/images/icon_star.png)
- jdbcRealm=org.apache.shiro.realm.jdbc.JdbcRealm
- dataSource=com.alibaba.druid.pool.DruidDataSource
- dataSource.driverClassName=com.mysql.jdbc.Driver
- dataSource.url=jdbc:mysql://localhost:3306/shiro
- dataSource.username=root
- #dataSource.password=
- jdbcRealm.dataSource=$dataSource
- securityManager.realms=$jdbcRealm
1、變數名=全限定類名會自動建立一個類例項
2、變數名.屬性=值 自動呼叫相應的setter方法進行賦值
3、$變數名 引用之前的一個物件例項
4、測試程式碼請參照com.github.zhangkaitao.shiro.chapter2.LoginLogoutTest的testJDBCRealm方法,和之前的沒什麼區別。
2.6 Authenticator及AuthenticationStrategy
Authenticator的職責是驗證使用者帳號,是Shiro API中身份驗證核心的入口點:
Java程式碼![收藏程式碼](http://jinnianshilongnian.iteye.com/images/icon_star.png)
- public AuthenticationInfo authenticate(AuthenticationToken authenticationToken)
- throws AuthenticationException;
如果驗證成功,將返回AuthenticationInfo驗證資訊;此資訊中包含了身份及憑證;如果驗證失敗將丟擲相應的AuthenticationException實現。
SecurityManager介面繼承了Authenticator,另外還有一個ModularRealmAuthenticator實現,其委託給多個Realm進行驗證,驗證規則通過AuthenticationStrategy介面指定,預設提供的實現:
FirstSuccessfulStrategy:只要有一個Realm驗證成功即可,只返回第一個Realm身份驗證成功的認證資訊,其他的忽略;
AtLeastOneSuccessfulStrategy:只要有一個Realm驗證成功即可,和FirstSuccessfulStrategy不同,返回所有Realm身份驗證成功的認證資訊;
AllSuccessfulStrategy:所有Realm驗證成功才算成功,且返回所有Realm身份驗證成功的認證資訊,如果有一個失敗就失敗了。
ModularRealmAuthenticator預設使用AtLeastOneSuccessfulStrategy策略。
假設我們有三個realm:
myRealm1: 使用者名稱/密碼為zhang/123時成功,且返回身份/憑據為zhang/123;
myRealm2: 使用者名稱/密碼為wang/123時成功,且返回身份/憑據為wang/123;
myRealm3: 使用者名稱/密碼為zhang/123時成功,且返回身份/憑據為[email protected]/123,和myRealm1不同的是返回時的身份變了;
1、ini配置檔案(shiro-authenticator-all-success.ini)
Java程式碼![收藏程式碼](http://jinnianshilongnian.iteye.com/images/icon_star.png)
- #指定securityManager的authenticator實現
- authenticator=org.apache.shiro.authc.pam.ModularRealmAuthenticator
- securityManager.authenticator=$authenticator
- #指定securityManager.authenticator的authenticationStrategy
- allSuccessfulStrategy=org.apache.shiro.authc.pam.AllSuccessfulStrategy
- securityManager.authenticator.authenticationStrategy=$allSuccessfulStrategy
![收藏程式碼](http://jinnianshilongnian.iteye.com/images/icon_star.png)
- myRealm1=com.github.zhangkaitao.shiro.chapter2.realm.MyRealm1
- myRealm2=com.github.zhangkaitao.shiro.chapter2.realm.MyRealm2
- myRealm3=com.github.zhangkaitao.shiro.chapter2.realm.MyRealm3
- securityManager.realms=$myRealm1,$myRealm3
2、測試程式碼(com.github.zhangkaitao.shiro.chapter2.AuthenticatorTest)
2.1、首先通用化登入邏輯
Java程式碼![收藏程式碼](http://jinnianshilongnian.iteye.com/images/icon_star.png)
- private void login(String configFile) {
- //1、獲取SecurityManager工廠,此處使用Ini配置檔案初始化SecurityManager
- Factory<org.apache.shiro.mgt.SecurityManager> factory =
- new IniSecurityManagerFactory(configFile);
- //2、得到SecurityManager例項 並繫結給SecurityUtils
- org.apache.shiro.mgt.SecurityManager securityManager = factory.getInstance();
- SecurityUtils.setSecurityManager(securityManager);
- //3、得到Subject及建立使用者名稱/密碼身份驗證Token(即使用者身份/憑證)
- Subject subject = SecurityUtils.getSubject();
- UsernamePasswordToken token = new UsernamePasswordToken("zhang", "123");
- subject.login(token);
- }
2.2、測試AllSuccessfulStrategy成功:
Java程式碼![收藏程式碼](http://jinnianshilongnian.iteye.com/images/icon_star.png)
- @Test
- public void testAllSuccessfulStrategyWithSuccess() {
- login("classpath:shiro-authenticator-all-success.ini");
- Subject subject = SecurityUtils.getSubject();
- //得到一個身份集合,其包含了Realm驗證成功的身份資訊
- PrincipalCollection principalCollection = subject.getPrincipals();
- Assert.assertEquals(2, principalCollection.asList().size());
- }
即PrincipalCollection包含了zhang和[email protected]身份資訊。
2.3、測試AllSuccessfulStrategy失敗:
Java程式碼![收藏程式碼](http://jinnianshilongnian.iteye.com/images/icon_star.png)
- @Test(expected = UnknownAccountException.class)
- public void testAllSuccessfulStrategyWithFail() {
- login("classpath:shiro-authenticator-all-fail.ini");
- Subject subject = SecurityUtils.getSubject();
- }
shiro-authenticator-all-fail.ini與shiro-authenticator-all-success.ini不同的配置是使用了securityManager.realms=$myRealm1,$myRealm2;即myRealm驗證失敗。
對於AtLeastOneSuccessfulStrategy和FirstSuccessfulStrategy的區別,請參照testAtLeastOneSuccessfulStrategyWithSuccess和testFirstOneSuccessfulStrategyWithSuccess測試方法。唯一不同點一個是返回所有驗證成功的Realm的認證資訊;另一個是隻返回第一個驗證成功的Realm的認證資訊。
自定義AuthenticationStrategy實現,首先看其API:
Java程式碼![收藏程式碼](http://jinnianshilongnian.iteye.com/images/icon_star.png)
- //在所有Realm驗證之前呼叫
- AuthenticationInfo beforeAllAttempts(
- Collection<? extends Realm> realms, AuthenticationToken token)
- throws AuthenticationException;
- //在每個Realm之前呼叫
- AuthenticationInfo beforeAttempt(
- Realm realm, AuthenticationToken token, AuthenticationInfo aggregate)
- throws AuthenticationException;
- //在每個Realm之後呼叫
- AuthenticationInfo afterAttempt(
- Realm realm, AuthenticationToken token,
- AuthenticationInfo singleRealmInfo, AuthenticationInfo aggregateInfo, Throwable t)
- throws AuthenticationException;
- //在所有Realm之後呼叫
- AuthenticationInfo afterAllAttempts(
- AuthenticationToken token, AuthenticationInfo aggregate)
- throws AuthenticationException;
因為每個AuthenticationStrategy例項都是無狀態的,所有每次都通過介面將相應的認證資訊傳入下一次流程;通過如上介面可以進行如合併/返回第一個驗證成功的認證資訊。
自定義實現時一般繼承org.apache.shiro.authc.pam.AbstractAuthenticationStrategy即可,具體可以參考程式碼com.github.zhangkaitao.shiro.chapter2.authenticator.strategy包下OnlyOneAuthenticatorStrategy 和AtLeastTwoAuthenticatorStrategy。
到此基本的身份驗證就搞定了,對於AuthenticationToken 、AuthenticationInfo和Realm的詳細使用後續章節再陸續介紹。