吾爱破解 - 52pojie.cn

 找回密码
 注册[Register]

QQ登录

只需一步,快速开始

查看: 4850|回复: 5
收起左侧

[Java 转载] (第四天)Shiro的Realm以及认证

[复制链接]
NullPointer 发表于 2016-12-26 16:39
ps:所有的代码都在https://github.com/GeekerDream/shiro下载!!!!以后的教程不再重复下载地址!!!!!
一、Realm


1、解释:
Realm:域,Shiro从Realm获取安全数据(如用户、角色、权限)注入给SecurityManager,SecurityManager负责验证用户身份以及权限,可以将Realm看成DataSource。
org.apache.shiro.realm.Realm接口源码如下:
[Java] 纯文本查看 复制代码
String getName(); //返回一个唯一的Realm名字  
boolean supports(AuthenticationToken token); //判断此Realm是否支持此Token  
AuthenticationInfo getAuthenticationInfo(AuthenticationToken token)  
 throws AuthenticationException;  //根据Token获取认证信息 

2、用法(单Realm,多Realm)
2.1、单Realm用法:
[Java] 纯文本查看 复制代码
package com.github.GeekerDream.chapter2.realm;

import org.apache.shiro.authc.AuthenticationException;
import org.apache.shiro.authc.AuthenticationInfo;
import org.apache.shiro.authc.AuthenticationToken;
import org.apache.shiro.authc.IncorrectCredentialsException;
import org.apache.shiro.authc.SimpleAuthenticationInfo;
import org.apache.shiro.authc.UnknownAccountException;
import org.apache.shiro.authc.UsernamePasswordToken;
import org.apache.shiro.realm.Realm;

/**
 * 自定义Realm
 * 
 * @author TongWei.Chen
 * @date 2016年12月26日11:54:16
 */
public class MyRealm1 implements Realm {
	
	/*
	 * 返回一个唯一的Realm名字
	 */
	public String getName() {
		return "myRealm1";
	}
	
	/*
	 * 判断此Realm是否支持此token
	 */
	public boolean supports(AuthenticationToken token) {
		//仅支持UsernamePassword类型的token
		return token instanceof UsernamePasswordToken;
	}

	/*
	 * 根据token获取认证信息
	 */
	public AuthenticationInfo getAuthenticationInfo(AuthenticationToken token)
			throws AuthenticationException {
		String username = (String)token.getPrincipal();
		String password = new String((char[])token.getCredentials());
		if(!"chen".equals(username)) {
            throw new UnknownAccountException(); //如果用户名错误
        }
        if(!"123".equals(password)) {
            throw new IncorrectCredentialsException(); //如果密码错误
        }
        //如果身份验证成功,则返回一个AuthenticationInfo实现
		return new SimpleAuthenticationInfo(username, password, getName());
	}
}

ini配置文件如下:
[Java] 纯文本查看 复制代码
[main]
#声明一个realm
myRealm1=com.github.GeekerDream.chapter2.realm.MyRealm1
#指定securityManager的realms实现(将realm注入给securityManager),这里的securityManager是RealmSecurityManager
#RealmSecurityManager继承了CachingSecurityManager
#CachingSecurityManager实现了SecurityManager
securityManager.realms=$myRealm1

测试用例请参考com.github.GeekerDream.chapter2.LoginLogoutTesttestSingleRealm测试方法
2.2、多Realm用法:
ini配置文件:
[Java] 纯文本查看 复制代码
[main]
#声明两个realm
myRealm1=com.github.GeekerDream.chapter2.realm.MyRealm1
myRealm2=com.github.GeekerDream.chapter2.realm.MyRealm2

#指定securityManager的realms实现(将realm注入给securityManager),这里的securityManager是RealmSecurityManager
#securityManager会按照realms指定的顺序进行身份认证,此处我们使用指定顺序的方式指定了Realm的顺序。
#若删除securityManager.realms=$myRealm1,$myRealm2,则默认按照realm的声明顺序来逐个注入
#若写securityManager.realms=$myRealm1,则只注入myRealm1,抛弃myRealm2
securityManager.realms=$myRealm1,$myRealm2

不再重复Java代码,直接参考com.github.GeekerDream.chapter2.LoginLogoutTesttestMultiRealms测试方法
3、Shiro提供的Realm如下图:
2.png
以后一般继承AuthorizingRealm(授权)即可;其继承了AuthenticatingRealm(即身份验证),而且也间接继承了CachingRealm(带有缓存实现)。其中主要默认实现如下:
org.apache.shiro.realm.text.IniRealm[users]部分指定用户名/密码及其角色;[roles]部分指定角色即权限信息;
org.apache.shiro.realm.text.PropertiesRealm user.username=password,role1,role2指定用户名/密码及其角色;role.role1=permission1,permission2指定角色及权限信息;
org.apache.shiro.realm.jdbc.JdbcRealm通过sql查询相应的信息,如“select password from users where username = ?”获取用户密码,“select password, password_salt from users where username = ?”获取用户密码及盐;“select role_name from user_roles where username = ?”获取用户角色;“select permission from roles_permissions where role_name = ?”获取角色对应的权限信息;也可以调用相应的api进行自定义sql。
4、jdbcRealm使用:
4.1、sql在代码中已给出,叫initSql.sql
4.2、ini配置:
[Java] 纯文本查看 复制代码
[main]
jdbcRealm=org.apache.shiro.realm.jdbc.JdbcRealm
dataSource=com.alibaba.druid.pool.DruidDataSource
dataSource.driverClassName=com.mysql.jdbc.Driver
dataSource.url=jdbc:mysql://localhost:3306/shiro
dataSource.username=root
dataSource.password=123456
jdbcRealm.dataSource=$dataSource
securityManager.realms=$jdbcRealm

##########################################
#可发现上述没有自定义realm,login会到JdbcRealm中的doGetAuthenticationInfo方法,而此方法来源于AuthenticatingRealm类
#为什么表名和字段名必须是init.sql中所写的?
#因为,看如下jdbcRealm源码:
# protected static final String DEFAULT_AUTHENTICATION_QUERY = "select password from users where username = ?";
# protected static final String DEFAULT_SALTED_AUTHENTICATION_QUERY = "select password, password_salt from users where username = ?";
# protected static final String DEFAULT_USER_ROLES_QUERY = "select role_name from user_roles where username = ?";
# protected static final String DEFAULT_PERMISSIONS_QUERY = "select permission from roles_permissions where role_name = ?";
1、变量名=全限定类名会自动创建一个类实例
2、变量名.属性=值 自动调用相应的setter方法进行赋值
3、$变量名 引用之前的一个对象实例
4、测试代码请参照com.github.GeekerDream.chapter2.LoginLogoutTest的testJDBCRealm方法,和之前的没什么区别。

二、Authenticator及AuthenticationStrategy
1、Authenticator的职责是验证用户帐号,是Shiro API中身份验证核心的入口点:
2、如果验证成功,将返回AuthenticationInfo验证信息;此信息中包含了身份及凭证;如果验证失败将抛出相应的AuthenticationException实现。
SecurityManager接口继承了Authenticator,另外还有一个ModularRealmAuthenticator实现,其委托给多个Realm进行验证,验证规则通过AuthenticationStrategy接口指定,默认提供的实现:
FirstSuccessfulStrategy:只要有一个Realm验证成功即可,只返回第一个Realm身份验证成功的认证信息,其他的忽略;
AtLeastOneSuccessfulStrategy:只要有一个Realm验证成功即可,和FirstSuccessfulStrategy不同,返回所有Realm身份验证成功的认证信息;
AllSuccessfulStrategy:所有Realm验证成功才算成功,且返回所有Realm身份验证成功的认证信息,如果有一个失败就失败了。
ModularRealmAuthenticator默认使用AtLeastOneSuccessfulStrategy策略。
具体看测试用例:测试代码请参照com.github.GeekerDream.chapter2.AuthenticatorTest类。

实战才是硬道理!!!!哪块理论不清楚的给我留言!!!

发帖前要善用论坛搜索功能,那里可能会有你要找的答案或者已经有人发布过相同内容了,请勿重复发帖。

ziddu 发表于 2016-12-26 16:58
感谢分享,回帖支持
 楼主| NullPointer 发表于 2016-12-26 17:04
凉粉 发表于 2017-4-27 17:19
起床灰常困难 发表于 2017-4-29 22:29
不错,在这里支持一下
起床灰常困难 发表于 2017-4-29 22:31
权限字符串的命名规则及技巧可以说说不?
您需要登录后才可以回帖 登录 | 注册[Register]

本版积分规则

返回列表

RSS订阅|小黑屋|处罚记录|联系我们|吾爱破解 - LCG - LSG ( 京ICP备16042023号 | 京公网安备 11010502030087号 )

GMT+8, 2024-11-30 12:07

Powered by Discuz!

Copyright © 2001-2020, Tencent Cloud.

快速回复 返回顶部 返回列表