spring 整合 shiro 安全框架 （一）

​

 前言

      之前在开发中听到有关权限管理的字眼，由于是第一次听到，所以上百度搜了一下，发现出现频率比较高的就是Shiro框架。碰巧，在实际开发中也遇到了使用Shrio框架的场景。所以想着自己也有必要去学习一下这个Shiro框架。这里就先梳理一下什么是Shiro框架。

什么是安全框架

      安全框架顾名思义一定是和安全有关的，它应该是在软甲系统开发中对于软件整体和系统能够提高其安全性。我们可以想一想，我们的软件和系统在哪些情况下需要较高的安全性。比如我们在注册账号的时候我们的密码如果没有加密，别有用心的人通过不同的手段获得了我们的密码就可以登录我们的账号，那我们的个人隐私不就被看光光了。。再比如，有些系统对于不同的用户会展示不同的信息。一些较为高层的信息，不对普通用户展示，这就需要设计权限管理。所以一个软件或者系统需要正常稳定地运行是离不开安全框架的。安全框架为软件提供了许多方便的接口，用于进行安全管理。就java而言用的比较多的就是Shiro框架和Spring全家桶的Spring Security。

Shiro安全框架

   Shiro安全框架是一个强大灵活的安全框架，相比于Spring Security,它更加的轻量级，对于开发者更加容易上手和操作。

我们访问Shiro的官方网站可以看到

​

Shiro框架主要由四部分组成，从左到右从上到下分别是身份验证，授权，会话管理，密码。所支持的特性分别是网络支持，缓存，并发性，测试，运行和记住账号。

身份验证(Authentication)：指让系统知道现在登录的人是谁

授权(Authorization)：对于登录的用户赋予权限，用户获得权限后可以进行与权限相对应的操作

会话管理(Session Management)：特指用户的会话管理

密码(Cryptography)：用户登录时对密码进行加密的安全手段

网络支持(Web Support)：框架可以应用于web程序，提高安全性

缓存(Caching)：能够使用户在确保安全的前提下进行高效快速的操作

并发性(Concurrency)：框架支持多线程

测试(Testing)：框架可以向JUnit那样帮助开发者进行单元测试和集成测试

运行(Run As)：在某些管理场景中会用到（这里不是很清楚官网所写的意思）

记住我(Remember Me)：在很多登录页可见，把账号信息存在会话中，便于下次登录

到此，我们大概了解了Shiro的组成和主要功能。我们再来看一些再安全框架中比较常见的名词，这对我们理解框架会有帮助

通常安全框架会与数据库紧密相连。数据库ji建表一般从主体（用户），角色，权限三个来考虑。这样的颗粒度比较细。

这个是我大概设计的一个数据库分为用户表，角色表，权限表，用户角色关联表，角色权限关联表

​

有数据库基础的应该可以看懂，我不赘述了。

角色，在安全框架中这是一个隐式的安全策略。怎么说呢，我们先回到之前的权限上去，权限，指的是程序可以做什么事，它是安全策略中最低一层的元素。我们设想如果将用户和权限连接绑定，再借助框架是不是就可以做到赋予用户权限，同时用户在系统中也按照各自的权限进行浏览，编辑和删除操作。确实是这样。但是如果这是一个非常庞大的用户集呢？

为每个用户要去绑定多条权限，一来比较繁琐，权限修改不方便，二来数据量大，有些冗余。也许编程设计的思想是相通的，我觉得这是一种类似于解耦合的操作，加入了角色的概念。前面说角色是一种隐式的策略，因为角色可以看做是多个权限的集合，提高管理者对安全的可控性。比如在之前的设想中，用户量增大到一定程度，我们发现有些用户所具有的的权限是一样，我们把这些用户进行分组，对于一组的用户，都具有相同的权限，也就是有了一个角色。把用户、权限用角色绑定起来，对外界来说权限不可见，因此可以说是隐式的。这种模式下，也方便对于大规模用户进行权限的管理，也方便对于新用户进行授权。

好了，现在我们开始，实战一下。这次我先准备的是Shiro和SSM框架的整合，首先通过Maven引入依赖包，我的话是引了这些包主要是核心包，web包，缓存的，和spring整合的

<!-- Shiro的jar包 Start -->
        <dependency>
            <groupId>org.apache.shiro</groupId>
            <artifactId>shiro-core</artifactId>
            <version>1.2.1</version>
        </dependency>
        <dependency>
            <groupId>org.apache.shiro</groupId>
            <artifactId>shiro-web</artifactId>
            <version>1.2.1</version>
        </dependency>
        <dependency>
            <groupId>org.apache.shiro</groupId>
            <artifactId>shiro-ehcache</artifactId>
            <version>1.2.1</version>
        </dependency>
        <dependency>
            <groupId>org.apache.shiro</groupId>
            <artifactId>shiro-spring</artifactId>
            <version>1.2.1</version>
        </dependency>
复制代码

然后我的话是在主配置XML文件里引了Shrio配置，把shiro单独放一个文件，这样比较清楚。

 <!--导入shiro配置-->
    <import resource="spring-shiro.xml"/>
复制代码

这里先web.xml中加个shiro的过滤器，所有的请求都会被拦截，通过shiro进行安全管理

 <!--Shiro过滤器-->
  <filter>
    <filter-name>shiroFilter</filter-name>
    <filter-class>org.springframework.web.filter.DelegatingFilterProxy</filter-class>
    <init-param>
      <param-name>targetFilterLifecycle</param-name>
      <param-value>true</param-value>
    </init-param>
  </filter>
  <filter-mapping>
    <filter-name>shiroFilter</filter-name>
    <url-pattern>/*</url-pattern>
  </filter-mapping>
复制代码

然后shiro的配置文件内容还是比较多的，英语好的同学可以去shiro官网看和spring的整合教程，我看了一下还是比较容易理解的

<?xml version="1.0" encoding="UTF-8"?>
<beans xmlns="http://www.springframework.org/schema/beans" 
    xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance" 
    xmlns:util="http://www.springframework.org/schema/util" xsi:schemaLocation="http://www.springframework.org/schema/beans
       http://www.springframework.org/schema/beans/spring-beans-4.0.xsd
       http://www.springframework.org/schema/util http://www.springframework.org/schema/util/spring-util.xsd">
    <!--shrio过滤器-->
    <bean id="shiroFilter" class="org.apache.shiro.spring.web.ShiroFilterFactoryBean">
        <property name="securityManager" ref="securityManager"/>
        <!--未授权-->
        <property name="unauthorizedUrl" value="/index.jsp"/>
        <property name="filters">
            <util:map>
                <entry key="authc" value-ref="formAuthenticationFilter"/>
            </util:map>
        </property>
        <property name="filterChainDefinitions">
            <value>
                /user/login = anon
                /** = authc
            </value>
        </property>
    </bean>
    <!--表单验证过滤器-->
    <bean id="formAuthenticationFilter" class="org.apache.shiro.web.filter.authc.FormAuthenticationFilter">
        <property name="usernameParam" value="userName"/>
        <property name="passwordParam" value="passWord"/>
        <property name="loginUrl" value="/"/>
        <property name="rememberMeParam" value="rememberMe"/>
    </bean>
    <!--安全管理器-->
    <bean id="securityManager" class="org.apache.shiro.web.mgt.DefaultWebSecurityManager">
        <!-- Single realm app.  If you have multiple realms, use the 'realms' property instead. -->
        <property name="realm" ref="myRealm"/>
        <property name="cacheManager" ref="cacheManger"/>
        <property name="rememberMeManager" ref="RememberMeManager"/>
        <!-- By default the servlet container sessions will be used.  Uncomment this line
             to use shiro's native sessions (see the JavaDoc for more): -->
        <!-- <property name="sessionMode" value="native"/> -->
    </bean>
    <!-- Shiro生命周期处理器-->
    <bean id="lifecycleBeanPostProcessor" class="org.apache.shiro.spring.LifecycleBeanPostProcessor"/>
    <!--Realm-->
    <bean id="myRealm" class="com.webShopBack.shrio.myRealm">
        <!--配置缓存管理器-->
        <property name="cacheManager" ref="cacheManger"/>
        <!--配置加密器-->
        <property name="credentialsMatcher">
            <bean class="org.apache.shiro.authc.credential.HashedCredentialsMatcher">
                <property name="hashAlgorithmName" value="MD5"/>
                <property name="hashIterations" value="2"/>
            </bean>
        </property>
    </bean>

    <!--用户授权信息Cache-->
    <bean id="cacheManger" class="org.apache.shiro.cache.MemoryConstrainedCacheManager"/>

    <!--启用shiro注解-->
    <!-- Enable Shiro Annotations for Spring-configured beans.  Only run after -->
    <!-- the lifecycleBeanProcessor has run: -->
    <bean class="org.springframework.aop.framework.autoproxy.DefaultAdvisorAutoProxyCreator" depends-on="lifecycleBeanPostProcessor"/>
    <bean class="org.apache.shiro.spring.security.interceptor.AuthorizationAttributeSourceAdvisor">
        <property name="securityManager" ref="securityManager"/>
    </bean>

    <!-- Secure Spring remoting:  Ensure any Spring Remoting method invocations -->
    <!-- can be associated with a Subject for security checks. -->
    <!--Server-side Configuration-->
    <bean id="secureRemoteInvocationExecutor" class="org.apache.shiro.spring.remoting.SecureRemoteInvocationExecutor">
        <property name="securityManager" ref="securityManager"/>
    </bean>
    <!--Client-side Configuration-->
    <bean id="secureRemoteInvocationFactory" class="org.apache.shiro.spring.remoting.SecureRemoteInvocationFactory"/>

    <!--rememberMe管理器-->
    <bean class="org.apache.shiro.web.mgt.CookieRememberMeManager" id="RememberMeManager">
        <property name="cookie" ref="cookie"/>
        <property name="cipherKey" value="#{T(org.apache.shiro.codec.Base64).decode('4AvVhmFLUs0KTA3Kprsdag==')}"/>
    </bean>
    <!--SessionCookie模板-->
    <bean class="org.apache.shiro.web.servlet.SimpleCookie" id="cookie">
        <constructor-arg value="rememberMe"/>
        <!--<property name="httpOnly" value="true"/>-->
        <property name="maxAge" value="36000"/>
    </bean>
</beans>
复制代码

这里配置了shiro，我们结合官网来看

首先是shiroFilter，这也就是之前在web.xml中出现过的过滤器，主要用于过滤我们的请求，哪些请求需要处理，哪些不需要；而需要处理的又该怎么处理。这里主要是由这个过滤器链filterChainDefinitions实现的。它定义了不同路由所对应的过滤器，在shiro中有个自的名称和含义。

anon:不需要执行任何的安全检查，一般就是一些游客登录可以访问的页面和登录页

authc:要求用户进行身份验证，如果验证不通过会强制重定向到登录页面进行登录验证

authcbasic:同样要求用户进行身份验证，不同的是这个是使用HTTP basic协议进行认证（感兴趣的同学可以去查一下相关资料）

logout：退出登录

这里我定义是除了登录路由外别的都需要认证

<!--shrio过滤器-->
    <bean id="shiroFilter" class="org.apache.shiro.spring.web.ShiroFilterFactoryBean">
        <property name="securityManager" ref="securityManager"/>
        <!--未授权-->
        <property name="unauthorizedUrl" value="/index.jsp"/>
        <property name="filters">
            <util:map>
                <entry key="authc" value-ref="formAuthenticationFilter"/>
            </util:map>
        </property>
        <property name="filterChainDefinitions">
            <value>
                /user/login = anon
                /** = authc
            </value>
        </property>
    </bean>
复制代码

然后比较重要的这个Realm这里我们会使用自定义的Realm,在Realm中主要是实现登录的验证和权限的授予。然后定义了加密器的加密规则。这里选择的是MD5加密，次数为2。

<!--Realm-->
    <bean id="myRealm" class="com.webShopBack.shrio.myRealm">
        <!--配置缓存管理器-->
        <property name="cacheManager" ref="cacheManger"/>
        <!--配置加密器-->
        <property name="credentialsMatcher">
            <bean class="org.apache.shiro.authc.credential.HashedCredentialsMatcher">
                <property name="hashAlgorithmName" value="MD5"/>
                <property name="hashIterations" value="2"/>
            </bean>
        </property>
    </bean>
复制代码

另外比较重要的是remember me 和Session 管理，缓存管理

 <!--rememberMe管理器-->
    <bean class="org.apache.shiro.web.mgt.CookieRememberMeManager" id="RememberMeManager">
        <property name="cookie" ref="cookie"/>
        <property name="cipherKey" value="#{T(org.apache.shiro.codec.Base64).decode('4AvVhmFLUs0KTA3Kprsdag==')}"/>
    </bean>
    <!--SessionCookie模板-->
    <bean class="org.apache.shiro.web.servlet.SimpleCookie" id="cookie">
        <constructor-arg value="rememberMe"/>
        <!--<property name="httpOnly" value="true"/>-->
        <property name="maxAge" value="36000"/>
    </bean>
 <!--用户授权信息Cache-->
    <bean id="cacheManger" class="org.apache.shiro.cache.MemoryConstrainedCacheManager"/>
复制代码

这里主要是用户在认证之后信息的一些存储的管理，设置一些信息存储的过期时间

最后我们在具体使用Shiro 的时候会用到Shiro的注解因此再加一个配置

<!--启用shiro注解-->
    <!-- Enable Shiro Annotations for Spring-configured beans.  Only run after -->
    <!-- the lifecycleBeanProcessor has run: -->
    <bean class="org.springframework.aop.framework.autoproxy.DefaultAdvisorAutoProxyCreator" depends-on="lifecycleBeanPostProcessor"/>
    <bean class="org.apache.shiro.spring.security.interceptor.AuthorizationAttributeSourceAdvisor">
        <property name="securityManager" ref="securityManager"/>
    </bean>
复制代码

到此Shiro和ssm框架的配置就基本完成了。

后面我们再讨论如何使用Shiro框架进行开发。

​