（第四天）Shiro的Realm以及认证
ps：所有的代码都在https://github.com/GeekerDream/shiro下载！！！！以后的教程不再重复下载地址！！！！！一、Realm
1、解释：
Realm：域，Shiro从Realm获取安全数据（如用户、角色、权限）注入给SecurityManager，SecurityManager负责验证用户身份以及权限，可以将Realm看成DataSource。
org.apache.shiro.realm.Realm接口源码如下：
String getName(); //返回一个唯一的Realm名字
boolean supports(AuthenticationToken token); //判断此Realm是否支持此Token
AuthenticationInfo getAuthenticationInfo(AuthenticationToken token)
throws AuthenticationException;//根据Token获取认证信息
2、用法（单Realm，多Realm）
2.1、单Realm用法：
package com.github.GeekerDream.chapter2.realm;
import org.apache.shiro.authc.AuthenticationException;
import org.apache.shiro.authc.AuthenticationInfo;
import org.apache.shiro.authc.AuthenticationToken;
import org.apache.shiro.authc.IncorrectCredentialsException;
import org.apache.shiro.authc.SimpleAuthenticationInfo;
import org.apache.shiro.authc.UnknownAccountException;
import org.apache.shiro.authc.UsernamePasswordToken;
import org.apache.shiro.realm.Realm;
/**
* 自定义Realm
*
* @author TongWei.Chen
* @date 2016年12月26日11:54:16
*/
public class MyRealm1 implements Realm {
/*
* 返回一个唯一的Realm名字
*/
public String getName() {
return "myRealm1";
}
/*
* 判断此Realm是否支持此token
*/
public boolean supports(AuthenticationToken token) {
//仅支持UsernamePassword类型的token
return token instanceof UsernamePasswordToken;
}
/*
* 根据token获取认证信息
*/
public AuthenticationInfo getAuthenticationInfo(AuthenticationToken token)
throws AuthenticationException {
String username = (String)token.getPrincipal();
String password = new String((char[])token.getCredentials());
if(!"chen".equals(username)) {
throw new UnknownAccountException(); //如果用户名错误
}
if(!"123".equals(password)) {
throw new IncorrectCredentialsException(); //如果密码错误
}
//如果身份验证成功，则返回一个AuthenticationInfo实现
return new SimpleAuthenticationInfo(username, password, getName());
}
}
ini配置文件如下：
#声明一个realm
myRealm1=com.github.GeekerDream.chapter2.realm.MyRealm1
#指定securityManager的realms实现（将realm注入给securityManager）,这里的securityManager是RealmSecurityManager
#RealmSecurityManager继承了CachingSecurityManager
#CachingSecurityManager实现了SecurityManager
securityManager.realms=$myRealm1
测试用例请参考com.github.GeekerDream.chapter2.LoginLogoutTest的testSingleRealm测试方法
2.2、多Realm用法：
ini配置文件：
#声明两个realm
myRealm1=com.github.GeekerDream.chapter2.realm.MyRealm1
myRealm2=com.github.GeekerDream.chapter2.realm.MyRealm2
#指定securityManager的realms实现（将realm注入给securityManager）,这里的securityManager是RealmSecurityManager
#securityManager会按照realms指定的顺序进行身份认证，此处我们使用指定顺序的方式指定了Realm的顺序。
#若删除securityManager.realms=$myRealm1,$myRealm2，则默认按照realm的声明顺序来逐个注入
#若写securityManager.realms=$myRealm1，则只注入myRealm1，抛弃myRealm2
securityManager.realms=$myRealm1,$myRealm2
不再重复Java代码，直接参考com.github.GeekerDream.chapter2.LoginLogoutTest的testMultiRealms测试方法
3、Shiro提供的Realm如下图：
以后一般继承AuthorizingRealm（授权）即可；其继承了AuthenticatingRealm（即身份验证），而且也间接继承了CachingRealm（带有缓存实现）。其中主要默认实现如下：org.apache.shiro.realm.text.IniRealm：部分指定用户名/密码及其角色；部分指定角色即权限信息；org.apache.shiro.realm.text.PropertiesRealm： user.username=password,role1,role2指定用户名/密码及其角色；role.role1=permission1,permission2指定角色及权限信息；org.apache.shiro.realm.jdbc.JdbcRealm：通过sql查询相应的信息，如“select password from users where username = ?”获取用户密码，“select password, password_salt from users where username = ?”获取用户密码及盐；“select role_name from user_roles where username = ?”获取用户角色；“select permission from roles_permissions where role_name = ?”获取角色对应的权限信息；也可以调用相应的api进行自定义sql。4、jdbcRealm使用：4.1、sql在代码中已给出，叫initSql.sql4.2、ini配置：
jdbcRealm=org.apache.shiro.realm.jdbc.JdbcRealm
dataSource=com.alibaba.druid.pool.DruidDataSource
dataSource.driverClassName=com.mysql.jdbc.Driver
dataSource.url=jdbc:mysql://localhost:3306/shiro
dataSource.username=root
dataSource.password=123456
jdbcRealm.dataSource=$dataSource
securityManager.realms=$jdbcRealm
##########################################
#可发现上述没有自定义realm，login会到JdbcRealm中的doGetAuthenticationInfo方法，而此方法来源于AuthenticatingRealm类
#为什么表名和字段名必须是init.sql中所写的？
#因为，看如下jdbcRealm源码：
# protected static final String DEFAULT_AUTHENTICATION_QUERY = "select password from users where username = ?";
# protected static final String DEFAULT_SALTED_AUTHENTICATION_QUERY = "select password, password_salt from users where username = ?";
# protected static final String DEFAULT_USER_ROLES_QUERY = "select role_name from user_roles where username = ?";
# protected static final String DEFAULT_PERMISSIONS_QUERY = "select permission from roles_permissions where role_name = ?";1、变量名=全限定类名会自动创建一个类实例2、变量名.属性=值 自动调用相应的setter方法进行赋值3、$变量名 引用之前的一个对象实例 4、测试代码请参照com.github.GeekerDream.chapter2.LoginLogoutTest的testJDBCRealm方法，和之前的没什么区别。
二、Authenticator及AuthenticationStrategy
1、Authenticator的职责是验证用户帐号，是Shiro API中身份验证核心的入口点：
2、如果验证成功，将返回AuthenticationInfo验证信息；此信息中包含了身份及凭证；如果验证失败将抛出相应的AuthenticationException实现。
SecurityManager接口继承了Authenticator，另外还有一个ModularRealmAuthenticator实现，其委托给多个Realm进行验证，验证规则通过AuthenticationStrategy接口指定，默认提供的实现：FirstSuccessfulStrategy：只要有一个Realm验证成功即可，只返回第一个Realm身份验证成功的认证信息，其他的忽略；AtLeastOneSuccessfulStrategy：只要有一个Realm验证成功即可，和FirstSuccessfulStrategy不同，返回所有Realm身份验证成功的认证信息；AllSuccessfulStrategy：所有Realm验证成功才算成功，且返回所有Realm身份验证成功的认证信息，如果有一个失败就失败了。 ModularRealmAuthenticator默认使用AtLeastOneSuccessfulStrategy策略。具体看测试用例：测试代码请参照com.github.GeekerDream.chapter2.AuthenticatorTest类。
实战才是硬道理！！！！哪块理论不清楚的给我留言！！！ 感谢分享，回帖支持 ziddu 发表于 2016-12-26 16:58
感谢分享，回帖支持
共同进步 感谢分享，回帖支持 不错，在这里支持一下 权限字符串的命名规则及技巧可以说说不？
页:
[1]