安全無處不在，趁著放假讀了一下 Shiro 文件，並記錄一下 Shiro 整合 Spring Boot 在資料庫中根據角色控制訪問許可權

簡介

Apache Shiro是一個功能強大、靈活的，開源的安全框架。它可以乾淨利落地處理身份驗證、授權、企業會話管理和加密。

上圖是 Shiro 的基本架構

Authentication（認證）

有時被稱為“登入”，用來證明使用者是使用者他們自己本人

訪問控制的過程，即確定“誰”訪問“什麼”

Session Management（會話管理）

管理使用者特定的會話，在 Shiro 裡面可以發現所有的使用者的會話資訊都會由 Shiro 來進行控制

Cryptography（加密）

在對資料來源使用加密演算法加密的同時，保證易於使用

Start

環境

Spring Boot 1.5.9
MySQL 5.7
Maven 3.5.2
Spring Data Jpa
Lombok

新增依賴

這裡只給出主要的 Shiro 依賴

        <dependency>
            <groupId>org.apache.shiro</groupId>
            <artifactId>shiro-spring-boot-starter</artifactId
 
>
            <version>1.4.0-RC2</version>
        </dependency>

配置

我們暫時只需要使用者表、角色表，在 Spring boot 中修改配置檔案將自動為我們建立資料庫表

server:
  port: 8888
spring:
  datasource:
    driver-class-name: com.mysql.jdbc.Driver
    username: root
    password: root
    url: jdbc:mysql://localhost:3306/shiro?characterEncoding=utf-8&useSSL=false
 

  jpa:
    generate-ddl: true
    hibernate:
      ddl-auto: update
    show-sql: true

實體

Role.java

@Data
@Entity
public class Role {

    @Id
    @GeneratedValue
    private Integer id;

    private Long userId;

    private String role;

}

User.java

@Data
@Entity
public class User {
    @Id
    @GeneratedValue
    private Long id;

    private String username;

    private String password;

}

Realm

首先建立 Realm 類，繼承自 AuthorizingRealm，自定義我們自己的授權和認證的方法。Realm 是可以訪問特定於應用程式的安全性資料（如使用者，角色和許可權）的元件。

Realm.java

public class Realm extends AuthorizingRealm {

    @Autowired
    private UserService userService;

    //授權
    @Override
    protected AuthorizationInfo doGetAuthorizationInfo(PrincipalCollection principalCollection) {
        //從憑證中獲得使用者名稱
        String username = (String) SecurityUtils.getSubject().getPrincipal();
        //根據使用者名稱查詢使用者物件
        User user = userService.getUserByUserName(username);
        //查詢使用者擁有的角色
        List<Role> list = roleService.findByUserId(user.getId());
        SimpleAuthorizationInfo info = new SimpleAuthorizationInfo();
        for (Role role : list) {
            //賦予使用者角色
            info.addStringPermission(role.getRole());
        }
        return info;
    }

    //認證
    @Override
    protected AuthenticationInfo doGetAuthenticationInfo(AuthenticationToken authenticationToken) throws AuthenticationException {

        //獲得當前使用者的使用者名稱
        String username = (String) authenticationToken.getPrincipal();

        //從資料庫中根據使用者名稱查詢使用者
        User user = userService.getUserByUserName(username);
        if (userService.getUserByUserName(username) == null) {
            throw new UnknownAccountException(
                    "沒有在本系統中找到對應的使用者資訊。");
        }

        SimpleAuthenticationInfo info = new SimpleAuthenticationInfo(user.getUsername(), user.getPassword(),getName());
        return info;
    }

}

Shiro 配置類

ShiroConfig.java

@Configuration
public class ShiroConfig {

    @Bean
    public ShiroFilterFactoryBean shiroFilterFactoryBean(SecurityManager securityManager) {
        ShiroFilterFactoryBean shiroFilterFactoryBean = new ShiroFilterFactoryBean();
        shiroFilterFactoryBean.setSecurityManager(securityManager);
        Map<String, String> filterChainDefinitionMap = new LinkedHashMap<String, String>();
        //以下是過濾鏈，按順序過濾，所以/**需要放最後
        //開放的靜態資源
        filterChainDefinitionMap.put("/favicon.ico", "anon");//網站圖示
        filterChainDefinitionMap.put("/**", "authc");
        shiroFilterFactoryBean.setFilterChainDefinitionMap(filterChainDefinitionMap);
        return shiroFilterFactoryBean;
    }


    @Bean
    public DefaultWebSecurityManager securityManager() {
        DefaultWebSecurityManager defaultWebSecurityManager = new DefaultWebSecurityManager(myRealm());
        return defaultWebSecurityManager;
    }

    @Bean
    public MyRealm myRealm() {
        MyRealm myRealm = new MyRealm();
        return myRealm;
    }
}

控制器

UserController.java

@Controller
public class UserController {

    @Autowired
    private UserService userService;

    @GetMapping("/")
    public String index() {
        return "index";
    }

    @GetMapping("/login")
    public String toLogin() {
        return "login";
    }

    @GetMapping("/admin")
    public String admin() {
        return "admin";
    }

    @PostMapping("/login")
    public String doLogin(String username, String password) {
        UsernamePasswordToken token = new UsernamePasswordToken(username, password);
        Subject subject = SecurityUtils.getSubject();
        try {
            subject.login(token);
        } catch (Exception e) {
            e.printStackTrace();
        }
        return "redirect:admin";
    }

    @GetMapping("/home")
    public String home() {
        Subject subject = SecurityUtils.getSubject();
        try {
            subject.checkPermission("admin");
        } catch (UnauthorizedException exception) {
            System.out.println("沒有足夠的許可權");
        }
        return "home";
    }

    @GetMapping("/logout")
    public String logout() {
        return "index";
    }
}

Service

UserService.java

@Service
public class UserService {

    @Autowired
    private UserDao userDao;

    public User getUserByUserName(String username) {
        return userDao.findByUsername(username);
    }

    @RequiresRoles("admin")
    public void send() {
        System.out.println("我現在擁有角色admin，可以執行本條語句");
    }

}

展示層

admin.html

<!DOCTYPE html>
<html xmlns:th="http://www.thymeleaf.org">
<html lang="en"/>
<head>
    <meta charset="UTF-8"/>
    <title>Title</title>
</head>
<body>

<form action="/login" method="post">
    <input type="text" name="username" />
    <input type="password" name="password" />
    <input type="submit" value="登入" />
</form>

</body>
</html>

home.html

<!DOCTYPE html>
<html xmlns:th="http://www.thymeleaf.org">
<html lang="en"/>
<head>
    <meta charset="UTF-8"/>
    <title>Title</title>
</head>
<body>
home
</body>
</html>

index.html

<!DOCTYPE html>
<html xmlns:th="http://www.thymeleaf.org">
<html lang="en"/>
<head>
    <meta charset="UTF-8"/>
    <title>Title</title>
</head>
<body>
index
<a href="/login">請登入</a>
</body>
</html>

login.html

<!DOCTYPE html>
<html xmlns:th="http://www.thymeleaf.org">
<html lang="en"/>
<head>
    <meta charset="UTF-8"/>
    <title>Title</title>
</head>
<body>

<form action="/login" method="post">
    <input type="text" name="username" />
    <input type="password" name="password" />
    <input type="submit" value="登入" />
</form>

</body>
</html>

總結

這個小案例實現了根據角色來控制使用者訪問，其中最重要的就是 Realm，它充當了Shiro與應用安全資料間的“橋樑”或者“聯結器”