ps:所有的代码都在https://github.com/GeekerDream/shiro下载!!!!以后的教程不再重复下载地址!!!!!
一、Realm
1、解释:
Realm:域,Shiro从Realm获取安全数据(如用户、角色、权限)注入给SecurityManager,SecurityManager负责验证用户身份以及权限,可以将Realm看成DataSource。
org.apache.shiro.realm.Realm接口源码如下:
[Java] 纯文本查看 复制代码 String getName(); //返回一个唯一的Realm名字
boolean supports(AuthenticationToken token); //判断此Realm是否支持此Token
AuthenticationInfo getAuthenticationInfo(AuthenticationToken token)
throws AuthenticationException; //根据Token获取认证信息
2、用法(单Realm,多Realm)
2.1、单Realm用法:
[Java] 纯文本查看 复制代码 package com.github.GeekerDream.chapter2.realm;
import org.apache.shiro.authc.AuthenticationException;
import org.apache.shiro.authc.AuthenticationInfo;
import org.apache.shiro.authc.AuthenticationToken;
import org.apache.shiro.authc.IncorrectCredentialsException;
import org.apache.shiro.authc.SimpleAuthenticationInfo;
import org.apache.shiro.authc.UnknownAccountException;
import org.apache.shiro.authc.UsernamePasswordToken;
import org.apache.shiro.realm.Realm;
/**
* 自定义Realm
*
* @author TongWei.Chen
* @date 2016年12月26日11:54:16
*/
public class MyRealm1 implements Realm {
/*
* 返回一个唯一的Realm名字
*/
public String getName() {
return "myRealm1";
}
/*
* 判断此Realm是否支持此token
*/
public boolean supports(AuthenticationToken token) {
//仅支持UsernamePassword类型的token
return token instanceof UsernamePasswordToken;
}
/*
* 根据token获取认证信息
*/
public AuthenticationInfo getAuthenticationInfo(AuthenticationToken token)
throws AuthenticationException {
String username = (String)token.getPrincipal();
String password = new String((char[])token.getCredentials());
if(!"chen".equals(username)) {
throw new UnknownAccountException(); //如果用户名错误
}
if(!"123".equals(password)) {
throw new IncorrectCredentialsException(); //如果密码错误
}
//如果身份验证成功,则返回一个AuthenticationInfo实现
return new SimpleAuthenticationInfo(username, password, getName());
}
}
ini配置文件如下:
[Java] 纯文本查看 复制代码 [main]
#声明一个realm
myRealm1=com.github.GeekerDream.chapter2.realm.MyRealm1
#指定securityManager的realms实现(将realm注入给securityManager),这里的securityManager是RealmSecurityManager
#RealmSecurityManager继承了CachingSecurityManager
#CachingSecurityManager实现了SecurityManager
securityManager.realms=$myRealm1
测试用例请参考com.github.GeekerDream.chapter2.LoginLogoutTest的testSingleRealm测试方法
2.2、多Realm用法:
ini配置文件:
[Java] 纯文本查看 复制代码 [main]
#声明两个realm
myRealm1=com.github.GeekerDream.chapter2.realm.MyRealm1
myRealm2=com.github.GeekerDream.chapter2.realm.MyRealm2
#指定securityManager的realms实现(将realm注入给securityManager),这里的securityManager是RealmSecurityManager
#securityManager会按照realms指定的顺序进行身份认证,此处我们使用指定顺序的方式指定了Realm的顺序。
#若删除securityManager.realms=$myRealm1,$myRealm2,则默认按照realm的声明顺序来逐个注入
#若写securityManager.realms=$myRealm1,则只注入myRealm1,抛弃myRealm2
securityManager.realms=$myRealm1,$myRealm2
不再重复Java代码,直接参考com.github.GeekerDream.chapter2.LoginLogoutTest的testMultiRealms测试方法
3、Shiro提供的Realm如下图:
以后一般继承AuthorizingRealm(授权)即可;其继承了AuthenticatingRealm(即身份验证),而且也间接继承了CachingRealm(带有缓存实现)。其中主要默认实现如下: org.apache.shiro.realm.text.IniRealm:[users]部分指定用户名/密码及其角色;[roles]部分指定角色即权限信息; org.apache.shiro.realm.text.PropertiesRealm: user.username=password,role1,role2指定用户名/密码及其角色;role.role1=permission1,permission2指定角色及权限信息; org.apache.shiro.realm.jdbc.JdbcRealm:通过sql查询相应的信息,如“select password from users where username = ?”获取用户密码,“select password, password_salt from users where username = ?”获取用户密码及盐;“select role_name from user_roles where username = ?”获取用户角色;“select permission from roles_permissions where role_name = ?”获取角色对应的权限信息;也可以调用相应的api进行自定义sql。 4、jdbcRealm使用: 4.1、sql在代码中已给出,叫initSql.sql 4.2、ini配置: [Java] 纯文本查看 复制代码 [main]
jdbcRealm=org.apache.shiro.realm.jdbc.JdbcRealm
dataSource=com.alibaba.druid.pool.DruidDataSource
dataSource.driverClassName=com.mysql.jdbc.Driver
dataSource.url=jdbc:mysql://localhost:3306/shiro
dataSource.username=root
dataSource.password=123456
jdbcRealm.dataSource=$dataSource
securityManager.realms=$jdbcRealm
##########################################
#可发现上述没有自定义realm,login会到JdbcRealm中的doGetAuthenticationInfo方法,而此方法来源于AuthenticatingRealm类
#为什么表名和字段名必须是init.sql中所写的?
#因为,看如下jdbcRealm源码:
# protected static final String DEFAULT_AUTHENTICATION_QUERY = "select password from users where username = ?";
# protected static final String DEFAULT_SALTED_AUTHENTICATION_QUERY = "select password, password_salt from users where username = ?";
# protected static final String DEFAULT_USER_ROLES_QUERY = "select role_name from user_roles where username = ?";
# protected static final String DEFAULT_PERMISSIONS_QUERY = "select permission from roles_permissions where role_name = ?"; 1、变量名=全限定类名会自动创建一个类实例 2、变量名.属性=值 自动调用相应的setter方法进行赋值 3、$变量名 引用之前的一个对象实例 4、测试代码请参照com.github.GeekerDream.chapter2.LoginLogoutTest的testJDBCRealm方法,和之前的没什么区别。
二、Authenticator及AuthenticationStrategy
1、Authenticator的职责是验证用户帐号,是Shiro API中身份验证核心的入口点:
2、如果验证成功,将返回AuthenticationInfo验证信息;此信息中包含了身份及凭证;如果验证失败将抛出相应的AuthenticationException实现。
SecurityManager接口继承了Authenticator,另外还有一个ModularRealmAuthenticator实现,其委托给多个Realm进行验证,验证规则通过AuthenticationStrategy接口指定,默认提供的实现: FirstSuccessfulStrategy:只要有一个Realm验证成功即可,只返回第一个Realm身份验证成功的认证信息,其他的忽略; AtLeastOneSuccessfulStrategy:只要有一个Realm验证成功即可,和FirstSuccessfulStrategy不同,返回所有Realm身份验证成功的认证信息; AllSuccessfulStrategy:所有Realm验证成功才算成功,且返回所有Realm身份验证成功的认证信息,如果有一个失败就失败了。 ModularRealmAuthenticator默认使用AtLeastOneSuccessfulStrategy策略。 具体看测试用例:测试代码请参照com.github.GeekerDream.chapter2.AuthenticatorTest类。
实战才是硬道理!!!!哪块理论不清楚的给我留言!!! |