Shiro高级及SaaS-HRM的认证授权
Shiro在SpringBoot工程的应用
Apache Shiro是一个功能强大、灵活的，开源的安全框架。它可以干净利落地处理身份验证、授权、企业会话管理和加密。越来越多的企业使用Shiro作为项目的安全框架，保证项目的平稳运行。
在之前的讲解中只是单独的使用shiro，方便学员对shiro有一个直观且清晰的认知，我们今天就来看一下shiro在springBoot工程中如何使用以及其他特性
案例说明
使用springBoot构建应用程序，整合shiro框架完成用户认证与授权。
数据库表
基本工程结构
导入资料中准备的基本工程代码，此工程中实现了基本用户角色权限的操作。我们只需要在此工程中添加Shiro相关的操作代码即可
整合Shiro
spring和shiro的整合依赖
<dependency><groupId>org.apache.shiro</groupId><artifactId>shiro-spring</artifactId><version>1.3.2</version>
</dependency>
<dependency><groupId>org.apache.shiro</groupId><artifactId>shiro-core</artifactId><version>1.3.2</version>
</dependency>修改登录方法
认证：身份认证/登录，验证用户是不是拥有相应的身份。基于shiro的认证，shiro需要采集到用户登录数据使用subject的login方法进入realm完成认证工作。
@RequestMapping(value="/login")public String login(String username,String password) {try{Subject subject = SecurityUtils.getSubject();UsernamePasswordToken uptoken = new UsernamePasswordToken(username,password);subject.login(uptoken);return "登录成功";}catch (Exception e) {return "用户名或密码错误";}}自定义realm
Realm域：Shiro从Realm获取安全数据（如用户、角色、权限），就是说SecurityManager要验证用户身份，那么 它需要从Realm获取相应的用户进行比较以确定用户身份是否合法；也需要从Realm得到用户相应的角色/权限进行验证用户是否能进行操作；可以把Realm看成DataSource，即安全数据源
package cn.itcast.shiro.realm;import cn.itcast.shiro.domain.Permission;
import cn.itcast.shiro.domain.Role;
import cn.itcast.shiro.domain.User;
import cn.itcast.shiro.service.UserService;
import org.apache.shiro.authc.*;
import org.apache.shiro.authz.AuthorizationInfo;
import org.apache.shiro.authz.SimpleAuthorizationInfo;
import org.apache.shiro.crypto.hash.Md5Hash;
import org.apache.shiro.realm.AuthorizingRealm;
import org.apache.shiro.subject.PrincipalCollection;
import org.springframework.beans.factory.annotation.Autowired;import java.util.HashSet;
import java.util.Set;/*** 自定义的realm*/
public class CustomRealm extends AuthorizingRealm {public void setName(String name) {super.setName("customRealm");}@Autowiredprivate UserService userService;/*** 授权方法* 操作的时候，判断用户是否具有响应的权限* 先认证 -- 安全数据* 再授权 -- 根据安全数据获取用户具有的所有操作权限***/protected AuthorizationInfo doGetAuthorizationInfo(PrincipalCollection principalCollection) {//1.获取已认证的用户数据User user = (User) principalCollection.getPrimaryPrincipal();//得到唯一的安全数据//2.根据用户数据获取用户的权限信息（所有角色，所有权限）SimpleAuthorizationInfo info = new SimpleAuthorizationInfo();Set<String> roles = new HashSet<>();//所有角色Set<String> perms = new HashSet<>();//所有权限for (Role role : user.getRoles()) {roles.add(role.getName());for (Permission perm : role.getPermissions()) {perms.add(perm.getCode());}}info.setStringPermissions(perms);info.setRoles(roles);return info;}/*** 认证方法* 参数：传递的用户名密码*/protected AuthenticationInfo doGetAuthenticationInfo(AuthenticationToken authenticationToken) throws AuthenticationException {//1.获取登录的用户名密码（token）UsernamePasswordToken upToken = (UsernamePasswordToken) authenticationToken;String username = upToken.getUsername();String password = new String( upToken.getPassword());//2.根据用户名查询数据库User user = userService.findByName(username);//3.判断用户是否存在或者密码是否一致if(user != null && user.getPassword().equals(password)) {//4.如果一致返回安全数据//构造方法：安全数据，密码，realm域名SimpleAuthenticationInfo info = new SimpleAuthenticationInfo(user,user.getPassword(),this.getName());return info;}//5.不一致，返回null（抛出异常）return null;}public static void main(String[] args) {System.out.println(new Md5Hash("123456","wangwu",3).toString());}
}
Shiro的配置
SecurityManager 是 Shiro 架构的心脏，用于协调内部的多个组件完成全部认证授权的过程。例如通过调用realm 完成认证与登录。使用基于springboot的配置方式完成SecurityManager，Realm的装配
package cn.itcast.shiro;import cn.itcast.shiro.realm.CustomRealm;
import cn.itcast.shiro.session.CustomSessionManager;
import org.apache.shiro.mgt.SecurityManager;
import org.apache.shiro.spring.security.interceptor.AuthorizationAttributeSourceAdvisor;
import org.apache.shiro.spring.web.ShiroFilterFactoryBean;
import org.apache.shiro.web.mgt.DefaultWebSecurityManager;
import org.apache.shiro.web.session.mgt.DefaultWebSessionManager;
import org.crazycake.shiro.RedisCacheManager;
import org.crazycake.shiro.RedisManager;
import org.crazycake.shiro.RedisSessionDAO;
import org.springframework.beans.factory.annotation.Value;
import org.springframework.context.annotation.Bean;
import org.springframework.context.annotation.Configuration;import java.util.LinkedHashMap;
import java.util.Map;@Configuration
public class ShiroConfiguration {//1.创建realm@Beanpublic CustomRealm getRealm() {return new CustomRealm();}//2.创建安全管理器@Beanpublic SecurityManager getSecurityManager(CustomRealm realm) {DefaultWebSecurityManager securityManager = new DefaultWebSecurityManager();securityManager.setRealm(realm);//将自定义的会话管理器注册到安全管理器中securityManager.setSessionManager(sessionManager());//将自定义的redis缓存管理器注册到安全管理器中securityManager.setCacheManager(cacheManager());return securityManager;}//3.配置shiro的过滤器工厂/*** 再web程序中，shiro进行权限控制全部是通过一组过滤器集合进行控制**/@Beanpublic ShiroFilterFactoryBean shiroFilter(SecurityManager securityManager) {//1.创建过滤器工厂ShiroFilterFactoryBean filterFactory = new ShiroFilterFactoryBean();//2.设置安全管理器filterFactory.setSecurityManager(securityManager);//3.通用配置（跳转登录页面，为授权跳转的页面）filterFactory.setLoginUrl("/autherror?code=1");//跳转url地址filterFactory.setUnauthorizedUrl("/autherror?code=2");//未授权的url//4.设置过滤器集合/*** 设置所有的过滤器：有顺序map* key = 拦截的url地址* value = 过滤器类型**/Map<String,String> filterMap = new LinkedHashMap<>();//filterMap.put("/user/home","anon");//当前请求地址可以匿名访问//具有某中权限才能访问//使用过滤器的形式配置请求地址的依赖权限//filterMap.put("/user/home","perms[user-home]"); //不具备指定的权限，跳转到setUnauthorizedUrl地址//使用过滤器的形式配置请求地址的依赖角色//filterMap.put("/user/home","roles[系统管理员]");filterMap.put("/user/**","authc");//当前请求地址必须认证之后可以访问filterFactory.setFilterChainDefinitionMap(filterMap);return filterFactory;}@Value("${spring.redis.host}")private String host;@Value("${spring.redis.port}")private int port;/*** 1.redis的控制器，操作redis*/public RedisManager redisManager() {RedisManager redisManager = new RedisManager();redisManager.setHost(host);redisManager.setPort(port);return redisManager;}/*** 2.sessionDao*/public RedisSessionDAO redisSessionDAO() {RedisSessionDAO sessionDAO = new RedisSessionDAO();sessionDAO.setRedisManager(redisManager());return sessionDAO;}/*** 3.会话管理器*/public DefaultWebSessionManager sessionManager() {CustomSessionManager sessionManager = new CustomSessionManager();sessionManager.setSessionDAO(redisSessionDAO());return sessionManager;}/*** 4.缓存管理器*/public RedisCacheManager cacheManager() {RedisCacheManager redisCacheManager = new RedisCacheManager();redisCacheManager.setRedisManager(redisManager());return redisCacheManager;}//开启对shior注解的支持@Beanpublic AuthorizationAttributeSourceAdvisor authorizationAttributeSourceAdvisor(SecurityManager securityManager) {AuthorizationAttributeSourceAdvisor advisor = new AuthorizationAttributeSourceAdvisor();advisor.setSecurityManager(securityManager);return advisor;}
}
shiro中的过滤器
| Filter | 解释 |
| anon | 无参，开放权限，可以理解为匿名用户或游客 |
| authc | 无参，需要认证 |
| logout | 无参，注销，执行后会直接跳转到 shiroFilterFactoryBean.setLoginUrl(); 设置的 url |
| authcBasic | 无参，表示 httpBasic 认证 |
| user | 无参，表示必须存在用户，当登入操作时不做检查 |
| ssl | 无参，表示安全的URL请求，协议为 https |
| perms[user] | 参数可写多个，表示需要某个或某些权限才能通过，多个参数时写 perms[“user, admin”]，当有多个参数时必须每个参数都通过才算通过 |
| roles[admin] | 参数可写多个，表示是某个或某些角色才能通过，多个参数时写 roles[“admin，user”]， 当有多个参数时必须每个参数都通过才算通过 |
| rest[user] | 根据请求的方法，相当于 perms[user:method]，其中 method 为 post，get，delete 等 |
| port[8081] | 当请求的URL端口不是8081时，跳转到当前访问主机HOST的8081端口 |
注意：anon, authc, authcBasic, user 是第一组认证过滤器，perms, port, rest, roles, ssl 是第二组授权过滤器，要通过授权过滤器，就先要完成登陆认证操作（即先要完成认证才能前去寻找授权) 才能走第二组授权器（例如访问需要 roles 权限的 url，如果还没有登陆的话，会直接跳转到shiroFilterFactoryBean.setLoginUrl(); 设置的 url ）
骚戴理解：shiro的权限控制都是通过一大堆的过滤器来实现的，常用的过滤器就四个，分别是anon、authc、perms[user]、roles[admin]，anon就是公开的，没限制，authc就是必须登录，perms[user]就是权限里必须有user这个字符才可以访问，roles[admin]就是角色里必须有admin这个角色才可以访问
授权
授权：即权限验证，验证某个已认证的用户是否拥有某个权限；即判断用户是否能做事情
shiro支持基于过滤器的授权方式也支持注解的授权方式
基于配置的授权
在shiro中可以使用过滤器的方式配置目标地址的请求权限
//配置请求连接过滤器配置//匿名访问（所有人员可以使用）filterMap.put("/user/home", "anon");//具有指定权限访问filterMap.put("/user/find", "perms[user-find]");//认证之后访问（登录之后可以访问）filterMap.put("/user/**", "authc");//具有指定角色可以访问filterMap.put("/user/**", "roles[系统管理员]");基于配置的方式进行授权，一旦操作用户不具备操作权限，目标地址不会被执行。会跳转到指定的url连接地址（也就是下面代码设置的路径）。所以需要在连接地址中更加友好的处理未授权的信息提示
filterFactory.setLoginUrl("/autherror?code=1");//跳转url地址
filterFactory.setUnauthorizedUrl("/autherror?code=2");//未授权的url基于注解的授权
RequiresPermissions
配置到方法上，表明执行此方法必须具有指定的权限
//查询
@RequiresPermissions(value = "user-find")public String find() { return "查询用户成功";
}RequiresRoles
配置到方法上，表明执行此方法必须具有指定的角色
//查询@RequiresRoles(value = "系统管理员")public String find() {return "查询用户成功";}基于注解的配置方式进行授权，一旦操作用户不具备操作权限，目标方法不会被执行，而且会抛出
AuthorizationException 异常。所以需要做好统一异常处理完成未授权处理
- 使用注解的话要在配置类中配置一个Bean
//开启对shior注解的支持@Beanpublic AuthorizationAttributeSourceAdvisor authorizationAttributeSourceAdvisor(SecurityManager securityManager) {AuthorizationAttributeSourceAdvisor advisor = new AuthorizationAttributeSourceAdvisor();advisor.setSecurityManager(securityManager);return advisor;}Shiro中的会话管理
在shiro里所有的用户的会话信息都会由Shiro来进行控制，shiro提供的会话可以用于JavaSE/JavaEE环境，不依赖 于任何底层容器，可以独立使用，是完整的会话模块。通过Shiro的会话管理器（SessionManager）进行统一的会话管理
什么是shiro的会话管理
SessionManager（会话管理器）：管理所有Subject的session包括创建、维护、删除、失效、验证等工作。SessionManager是顶层组件，由SecurityManager管理
shiro提供了三个默认实现：
- DefaultSessionManager：用于JavaSE环境
- ServletContainerSessionManager（默认）：用于Web环境，直接使用servlet容器的会话。
- DefaultWebSessionManager（自定义）：用于web环境，自己维护会话（自己维护着会话，直接废弃了Servlet容器的会话管理）。
在web程序中，通过shiro的Subject.login()方法登录成功后，用户的认证信息实际上是保存在HttpSession中的通过如下代码验证。
//登录成功后，打印所有session内容@RequestMapping(value="/show")public String show(HttpSession session) {// 获取session中所有的键值Enumeration<?> enumeration = session.getAttributeNames();// 遍历enumeration中的while (enumeration.hasMoreElements()) {// 获取session键值String name = enumeration.nextElement().toString();// 根据键值取session中的值Object value = session.getAttribute(name);// 打印结果System.out.println("<B>" + name + "</B>=" + value + "<br>/n");}return "查看session成功";}应用场景分析
在分布式系统或者微服务架构下，都是通过统一的认证中心进行用户认证。如果使用默认会话管理，用户信息只会 保存到一台服务器上。那么其他服务就需要进行会话的同步。
会话管理器可以指定sessionId的生成以及获取方式。通过sessionDao完成模拟session存入，取出等操作
Shiro结合redis的统一会话管理
步骤分析
构建环境
使用开源组件Shiro-Redis可以方便的构建shiro与redis的整合工程。
<dependency><groupId>org.crazycake</groupId><artifactId>shiro-redis</artifactId><version>3.0.0</version>
</dependency>在springboot配置文件中添加redis配置
redis:host: 127.0.0.1port: 6379自定义shiro会话管理器
package cn.itcast.shiro.session;import org.apache.shiro.web.servlet.ShiroHttpServletRequest;
import org.apache.shiro.web.session.mgt.DefaultWebSessionManager;
import org.apache.shiro.web.util.WebUtils;
import org.springframework.util.StringUtils;import javax.servlet.ServletRequest;
import javax.servlet.ServletResponse;
import java.io.Serializable;/*** 自定义的sessionManager*/
public class CustomSessionManager extends DefaultWebSessionManager {/*** 头信息中具有sessionid* 请求头：Authorization： sessionid** 指定sessionId的获取方式*/protected Serializable getSessionId(ServletRequest request, ServletResponse response) {//获取请求头Authorization中的数据String id = WebUtils.toHttp(request).getHeader("Authorization");if(StringUtils.isEmpty(id)) {//如果没有携带，生成新的sessionIdreturn super.getSessionId(request,response);}else{//返回sessionId；request.setAttribute(ShiroHttpServletRequest.REFERENCED_SESSION_ID_SOURCE, "header");request.setAttribute(ShiroHttpServletRequest.REFERENCED_SESSION_ID, id);request.setAttribute(ShiroHttpServletRequest.REFERENCED_SESSION_ID_IS_VALID, Boolean.TRUE);return id;}}
}
配置Shiro基于redis的会话管理
在Shiro配置类 配置cn.itcast.shiro.ShiroConfiguration
- 配置shiro的RedisManager，通过shiro-redis包提供的RedisManager统一对redis操作
@Value("${spring.redis.host}")
private String host;
@Value("${spring.redis.port}")
private int port;
//配置shiro redisManager
public RedisManager redisManager() {RedisManager redisManager = new RedisManager();redisManager.setHost(host);redisManager.setPort(port);return redisManager;
}- Shiro内部有自己的本地缓存机制，为了更加统一方便管理，全部替换redis实现
//配置Shiro的缓存管理器
//使用redis实现
public RedisCacheManager cacheManager() {RedisCacheManager redisCacheManager = new RedisCacheManager();redisCacheManager.setRedisManager(redisManager());return redisCacheManager;
}- 配置SessionDao，使用shiro-redis实现的基于redis的sessionDao
/**
* RedisSessionDAO shiro sessionDao层的实现 通过redis
* 使用的是shiro-redis开源插件
*/
public RedisSessionDAO redisSessionDAO() {RedisSessionDAO redisSessionDAO = new RedisSessionDAO();redisSessionDAO.setRedisManager(redisManager());return redisSessionDAO;
}- 配置会话管理器，指定sessionDao的依赖关系
/*** 3.会话管理器*/public DefaultWebSessionManager sessionManager() {CustomSessionManager sessionManager = new CustomSessionManager();sessionManager.setSessionDAO(redisSessionDAO());return sessionManager;}- 统一交给SecurityManager管理
//配置安全管理器@Beanpublic SecurityManager securityManager(CustomRealm realm) {//使用默认的安全管理器DefaultWebSecurityManager securityManager = new DefaultWebSecurityManager(realm);// 自定义session管理 使用redissecurityManager.setSessionManager(sessionManager());// 自定义缓存实现 使用redissecurityManager.setCacheManager(cacheManager());//将自定义的realm交给安全管理器统一调度管理securityManager.setRealm(realm);return securityManager;}SaaS-HRM中的认证授权
需求分析
实现基于Shiro的SaaS平台的统一权限管理。我们的SaaS-HRM系统是基于微服务构建，所以在使用Shiro鉴权的时候，就需要将认证信息保存到统一的redis服务器中完成。这样，每个微服务都可以通过指定cookie中的sessionid获取公共的认证信息。
搭建环境
导入依赖
父工程导入Shiro的依赖
<dependency><groupId>org.apache.shiro</groupId><artifactId>shiro-spring</artifactId><version>1.3.2</version>
</dependency>
<dependency><groupId>org.apache.shiro</groupId><artifactId>shiro-core</artifactId><version>1.3.2</version>
</dependency>
<dependency><groupId>org.crazycake</groupId><artifactId>shiro-redis</artifactId><version>3.0.0</version>
</dependency>配置值对象
不需要存入redis太多的用户数据，和获取用户信息的返回对象一致即可，需要实现AuthCachePrincipali接口
@Setter
@Getter
public class ProfileResult implements Serializable,AuthCachePrincipal {private String mobile;private String username;private String company;private String companyId;private Map<String,Object> roles = new HashMap<>();//省略
}骚戴理解：通过将authcacheprincipal接口的实现添加到profileresult类中，该类的实例对象可以用作身份验证系统的凭据，并缓存在身份验证高速缓存中，以提高身份验证效率。同时可序列化则表示它可以被网络传输或者持久化到数据库中。简单来说就是使用shiro认证，也就是登录校验的时候会传入一个安全数据存储到shiro的会话中，其实就是存在内存中，然后这个安全数据是对象的话要实现authcacheprincipal这个接口！！！看下面的代码就知道了ProfileResult就是这个安全数据！！！
//认证方法protected AuthenticationInfo doGetAuthenticationInfo(AuthenticationToken authenticationToken) throws AuthenticationException {//1.获取用户的手机号和密码UsernamePasswordToken upToken = (UsernamePasswordToken) authenticationToken;String mobile = upToken.getUsername();String password = new String( upToken.getPassword());//2.根据手机号查询用户User user = userService.findByMobile(mobile);//3.判断用户是否存在，用户密码是否和输入密码一致if(user != null && user.getPassword().equals(password)) {//4.构造安全数据并返回（安全数据：用户基本数据，权限信息 profileResult）ProfileResult result = null;if("user".equals(user.getLevel())) {result = new ProfileResult(user);}else {Map map = new HashMap();if("coAdmin".equals(user.getLevel())) {map.put("enVisible","1");}List<Permission> list = permissionService.findAll(map);result = new ProfileResult(user,list);}//构造方法：安全数据，密码，realm域名SimpleAuthenticationInfo info = new SimpleAuthenticationInfo(result,user.getPassword(),this.getName());return info;}//返回null，会抛出异常，标识用户名和密码不匹配return null;}
}配置未认证controller
为了在多个微服务中使用，配置公共的未认证未授权的Controller
@RestController
@CrossOrigin
public class ErrorController {//公共错误跳转@RequestMapping(value="autherror")public Result autherror(int code) {return code ==1?new Result(ResultCode.UNAUTHENTICATED):new Result(ResultCode.UNAUTHORISE);}
}骚戴理解：上面这个控制器是跟下面配置类中的两行代码并肩作战的，也就是如果校验权限发现有权限就会跳转到/autherror?code=1，权限不足就跳到/autherror?code=2
//3.通用配置（跳转登录页面，未授权跳转的页面）
filterFactory.setLoginUrl("/autherror?code=1");//跳转url地址
filterFactory.setUnauthorizedUrl("/autherror?code=2");//未授权的url自定义的公共异常处理器
package com.ihrm.common.handler;import com.ihrm.common.entity.Result;
import com.ihrm.common.entity.ResultCode;
import com.ihrm.common.exception.CommonException;
import org.apache.shiro.authz.AuthorizationException;
import org.springframework.web.bind.annotation.ControllerAdvice;
import org.springframework.web.bind.annotation.ExceptionHandler;
import org.springframework.web.bind.annotation.ResponseBody;import javax.servlet.http.HttpServletRequest;
import javax.servlet.http.HttpServletResponse;/*** 自定义的公共异常处理器* 1.声明异常处理器* 2.对异常统一处理*/
@ControllerAdvice
public class BaseExceptionHandler {@ExceptionHandler(value = Exception.class)@ResponseBodypublic Result error(HttpServletRequest request, HttpServletResponse response,Exception e) {e.printStackTrace();if(e.getClass() == CommonException.class) {//类型转型CommonException ce = (CommonException) e;Result result = new Result(ce.getResultCode());return result;}else{Result result = new Result(ResultCode.SERVER_ERROR);return result;}}@ExceptionHandler(value = AuthorizationException.class)@ResponseBodypublic Result error(HttpServletRequest request, HttpServletResponse response,AuthorizationException e) {return new Result(ResultCode.UNAUTHORISE);}
}
骚戴理解：因为这里是用的Shiro注解鉴权，如果鉴权失败是会抛出异常的，所以需要通过这个异常处理器来统一处理这些异常
自定义realm授权
ihrm-common模块下创建公共的认证与授权realm，需要注意的是，此realm只处理授权数据即可，认证方法需要在登录模块中补全。
package com.ihrm.common.shiro.realm;import com.ihrm.domain.system.response.ProfileResult;
import org.apache.shiro.authc.AuthenticationException;
import org.apache.shiro.authc.AuthenticationInfo;
import org.apache.shiro.authc.AuthenticationToken;
import org.apache.shiro.authz.AuthorizationInfo;
import org.apache.shiro.authz.SimpleAuthorizationInfo;
import org.apache.shiro.realm.AuthorizingRealm;
import org.apache.shiro.subject.PrincipalCollection;import java.util.Set;//公共的realm：获取安全数据，构造权限信息
public class IhrmRealm extends AuthorizingRealm {public void setName(String name) {super.setName("ihrmRealm");}//授权方法protected AuthorizationInfo doGetAuthorizationInfo(PrincipalCollection principalCollection) {//1.获取安全数据ProfileResult result = (ProfileResult)principalCollection.getPrimaryPrincipal();//2.获取权限信息Set<String> apisPerms = (Set<String>)result.getRoles().get("apis");//3.构造权限数据，返回值SimpleAuthorizationInfo info = new SimpleAuthorizationInfo();info.setStringPermissions(apisPerms);return info;}//认证方法protected AuthenticationInfo doGetAuthenticationInfo(AuthenticationToken authenticationToken) throws AuthenticationException {return null;}
}
骚戴理解：上面代码很容易漏掉setName这个方法。setname方法用于设置此authorizingrealm的名称。在该实现中，setname重写了父类的setname方法并强制将名称设置为"ihrmrealm"。该名称通常用于唯一标识该领域对象（realm）的身份，并在调用该对象时由框架使用。
自定义会话管理器
之前的程序使用jwt的方式进行用户认证，前端发送后端的是请求头中的token。为了适配之前的程序，在shiro中需要更改sessionId的获取方式。很好解决，在shiro的会话管理中，可以轻松的使用请求头中的内容作为sessionid
package com.ihrm.common.shiro.session;import org.apache.shiro.web.servlet.ShiroHttpServletRequest;
import org.apache.shiro.web.session.mgt.DefaultWebSessionManager;
import org.apache.shiro.web.util.WebUtils;
import org.springframework.util.StringUtils;import javax.servlet.ServletRequest;
import javax.servlet.ServletResponse;
import java.io.Serializable;public class CustomSessionManager extends DefaultWebSessionManager {/*** 头信息中具有sessionid* 请求头：Authorization： sessionid** 指定sessionId的获取方式*/protected Serializable getSessionId(ServletRequest request, ServletResponse response) {//获取请求头Authorization中的数据String id = WebUtils.toHttp(request).getHeader("Authorization");if(StringUtils.isEmpty(id)) {//如果没有携带，生成新的sessionIdreturn super.getSessionId(request,response);}else{//请求头信息：bearer sessionidid = id.replaceAll("Bearer ","");//返回sessionId；request.setAttribute(ShiroHttpServletRequest.REFERENCED_SESSION_ID_SOURCE, "header");request.setAttribute(ShiroHttpServletRequest.REFERENCED_SESSION_ID, id);request.setAttribute(ShiroHttpServletRequest.REFERENCED_SESSION_ID_IS_VALID, Boolean.TRUE);return id;}}
}用户认证
配置用户登录
//用户名密码登录@RequestMapping(value="/login",method = RequestMethod.POST)public Result login(@RequestBody Map<String,String> loginMap) {String mobile = loginMap.get("mobile");String password = loginMap.get("password");try {//1.构造登录令牌 UsernamePasswordToken//加密密码password = new Md5Hash(password,mobile,3).toString(); //1.密码，盐，加密次数UsernamePasswordToken upToken = new UsernamePasswordToken(mobile,password);//2.获取subjectSubject subject = SecurityUtils.getSubject();//3.调用login方法，进入realm完成认证subject.login(upToken);//4.获取sessionIdString sessionId = (String)subject.getSession().getId();//5.构造返回结果return new Result(ResultCode.SUCCESS,sessionId);}catch (Exception e) {return new Result(ResultCode.MOBILEORPASSWORDERROR);}}骚戴理解：new Md5Hash(password,mobile,3)里面的三个参数分别是密码，盐（通过是用用户名作为盐值），加密次数。所谓的盐其实就是字符串，md5加盐就是数字和字符串组成的密文
修改profile方法
/*** 用户登录成功之后，获取用户信息* 1.获取用户id* 2.根据用户id查询用户* 3.构建返回值对象* 4.响应*/@RequestMapping(value="/profile",method = RequestMethod.POST)public Result profile(HttpServletRequest request) throws Exception {//获取session中的安全数据Subject subject = SecurityUtils.getSubject();//1.subject获取所有的安全数据集合PrincipalCollection principals = subject.getPrincipals();//2.获取安全数据ProfileResult result = (ProfileResult)principals.getPrimaryPrincipal();// String userid = claims.getId();
// //获取用户信息
// User user = userService.findById(userid);
// //根据不同的用户级别获取用户权限
//
// ProfileResult result = null;
//
// if("user".equals(user.getLevel())) {
// result = new ProfileResult(user);
// }else {
// Map map = new HashMap();
// if("coAdmin".equals(user.getLevel())) {
// map.put("enVisible","1");
// }
// List<Permission> list = permissionService.findAll(map);
// result = new ProfileResult(user,list);
// }return new Result(ResultCode.SUCCESS,result);}骚戴理解：之前profile方法是用来授权的，由于这个操作已经在UserRealm里实现了，并且把授权后的ProfileResult放到了SimpleAuthenticationInfo里面，所以这里只需要直接取出来返回给前端即可
shiro认证
配置用户登录认证的realm域，只需要继承公共的IhrmRealm补充其中的认证方法即可
public class UserIhrmRealm extends IhrmRealm {@Overridepublic void setName(String name) {super.setName("customRealm");}@Autowiredprivate UserService userService;//认证方法protected AuthenticationInfo doGetAuthenticationInfo(AuthenticationToken authenticationToken) throws AuthenticationException {//1.获取用户的手机号和密码UsernamePasswordToken upToken = (UsernamePasswordToken) authenticationToken;String mobile = upToken.getUsername();String password = new String( upToken.getPassword());//2.根据手机号查询用户User user = userService.findByMobile(mobile);//3.判断用户是否存在，用户密码是否和输入密码一致if(user != null && user.getPassword().equals(password)) {//4.构造安全数据并返回（安全数据：用户基本数据，权限信息 profileResult）ProfileResult result = null;if("user".equals(user.getLevel())) {result = new ProfileResult(user);}else {Map map = new HashMap();if("coAdmin".equals(user.getLevel())) {map.put("enVisible","1");}List<Permission> list = permissionService.findAll(map);result = new ProfileResult(user,list);}//构造方法：安全数据，密码，realm域名SimpleAuthenticationInfo info = new SimpleAuthenticationInfo(result,user.getPassword(),this.getName());return info;}//返回null，会抛出异常，标识用户名和密码不匹配return null;}
}骚戴理解：认证即是登录校验，通过查询数据库校验用户账号信息，然后封装该用户的所有权限，也就是安全数据ProfileResult对象，SimpleAuthenticationInfo的三个参数分别是安全数据，密码，realm域名
SimpleAuthenticationInfo info = new SimpleAuthenticationInfo(result,user.getPassword(),this.getName());骚戴理解：simpleauthenticationinfo 类用于表示身份验证信息。 在构造时，它接受三个参数：
- result: 身份验证的有效用户对象。可以是来自数据库或其他数据源中的实际对象。
- user.getpassword(): 表示有效用户对象密码的字符串。这通常来自数据库或其他数据源。
- this.getname(): 是一个字符串，表示realm的名称（在shiro中具有定义）。该字符串在配置文件中指定，并被用于登录认证和授权过程中。
因此，语句simpleauthenticationinfo info = new simpleauthenticationinfo(result, user.getpassword(), this.getname()); 的作用是创建一个包含三个参数值的 simpleauthenticationinfo 对象 info，用于表示用户的身份验证信息。其中，result 代表已验证的用户的身份，user.getpassword() 代表已验证用户的密码，this.getname()代表realm的名称。这个对象可以由shiro框架的其他组件、方法或类进行使用或处理。
获取session数据
baseController中使用shiro从redis中获取认证数据
//使用shiro获取@ModelAttributepublic void setResAnReq(HttpServletRequest request,HttpServletResponse response) {this.request = request;this.response = response;//获取session中的安全数据Subject subject = SecurityUtils.getSubject();//1.subject获取所有的安全数据集合PrincipalCollection principals = subject.getPrincipals();if(principals != null && !principals.isEmpty()){//2.获取安全数据ProfileResult result = (ProfileResult)principals.getPrimaryPrincipal();this.companyId = result.getCompanyId();this.companyName = result.getCompany();}}用户授权
在需要使用的接口上配置@RequiresPermissions("API-USER-DELETE")
配置
构造shiro的配置类
package com.ihrm.system;import com.ihrm.common.shiro.realm.IhrmRealm;
import com.ihrm.common.shiro.session.CustomSessionManager;
import com.ihrm.system.shiro.realm.UserRealm;
import org.apache.shiro.mgt.SecurityManager;
import org.apache.shiro.spring.security.interceptor.AuthorizationAttributeSourceAdvisor;
import org.apache.shiro.spring.web.ShiroFilterFactoryBean;
import org.apache.shiro.web.mgt.DefaultWebSecurityManager;
import org.apache.shiro.web.session.mgt.DefaultWebSessionManager;
import org.crazycake.shiro.RedisCacheManager;
import org.crazycake.shiro.RedisManager;
import org.crazycake.shiro.RedisSessionDAO;
import org.springframework.beans.factory.annotation.Value;
import org.springframework.context.annotation.Bean;
import org.springframework.context.annotation.Configuration;import java.util.LinkedHashMap;
import java.util.Map;@Configuration
public class ShiroConfiguration {//1.创建realm@Beanpublic IhrmRealm getRealm() {return new UserRealm();}//2.创建安全管理器@Beanpublic SecurityManager getSecurityManager(IhrmRealm realm) {DefaultWebSecurityManager securityManager = new DefaultWebSecurityManager();securityManager.setRealm(realm);//将自定义的会话管理器注册到安全管理器中securityManager.setSessionManager(sessionManager());//将自定义的redis缓存管理器注册到安全管理器中securityManager.setCacheManager(cacheManager());return securityManager;}//3.配置shiro的过滤器工厂/*** 再web程序中，shiro进行权限控制全部是通过一组过滤器集合进行控制**/@Beanpublic ShiroFilterFactoryBean shiroFilter(SecurityManager securityManager) {//1.创建过滤器工厂ShiroFilterFactoryBean filterFactory = new ShiroFilterFactoryBean();//2.设置安全管理器filterFactory.setSecurityManager(securityManager);//3.通用配置（跳转登录页面，未授权跳转的页面）filterFactory.setLoginUrl("/autherror?code=1");//跳转url地址filterFactory.setUnauthorizedUrl("/autherror?code=2");//未授权的url//4.设置过滤器集合Map<String,String> filterMap = new LinkedHashMap<>();//anon -- 匿名访问filterMap.put("/sys/login","anon");filterMap.put("/autherror","anon");//注册//authc -- 认证之后访问（登录）filterMap.put("/**","authc");//perms -- 具有某中权限 (使用注解配置授权)filterFactory.setFilterChainDefinitionMap(filterMap);return filterFactory;}@Value("${spring.redis.host}")private String host;@Value("${spring.redis.port}")private int port;/*** 1.redis的控制器，操作redis*/public RedisManager redisManager() {RedisManager redisManager = new RedisManager();redisManager.setHost(host);redisManager.setPort(port);return redisManager;}/*** 2.sessionDao*/public RedisSessionDAO redisSessionDAO() {RedisSessionDAO sessionDAO = new RedisSessionDAO();sessionDAO.setRedisManager(redisManager());return sessionDAO;}/*** 3.会话管理器*/public DefaultWebSessionManager sessionManager() {CustomSessionManager sessionManager = new CustomSessionManager();sessionManager.setSessionDAO(redisSessionDAO());//禁用cookiesessionManager.setSessionIdCookieEnabled(false);//禁用url重写 url;jsessionid=idsessionManager.setSessionIdUrlRewritingEnabled(false);return sessionManager;}/*** 4.缓存管理器*/public RedisCacheManager cacheManager() {RedisCacheManager redisCacheManager = new RedisCacheManager();redisCacheManager.setRedisManager(redisManager());return redisCacheManager;}//开启对shior注解的支持@Beanpublic AuthorizationAttributeSourceAdvisor authorizationAttributeSourceAdvisor(SecurityManager securityManager) {AuthorizationAttributeSourceAdvisor advisor = new AuthorizationAttributeSourceAdvisor();advisor.setSecurityManager(securityManager);return advisor;}
}
骚戴理解：以下代码是向上转型，如果UserRealm没有这个方法就调用父类的，有的话就会调用UserRealm自己的方法，这样的写应该是为了把这个Realm拆开，一个用来认证，一个用来授权
@Beanpublic IhrmRealm getRealm() {return new UserRealm();}这里要把之前的Jwt的拦截器配置文件给注释掉！注释@Configuration就好
相关文章：
Shiro高级及SaaS-HRM的认证授权
Shiro在SpringBoot工程的应用 Apache Shiro是一个功能强大、灵活的，开源的安全框架。它可以干净利落地处理身份验证、授权、企业会话管理和加密。越来越多的企业使用Shiro作为项目的安全框架，保证项目的平稳运行。 在之前的讲解中只是单独的使用shiro&…...
eclipse svn插件安装
1.进入eclipse的help->Eclipse Marketplace,如下图所示： 2.输入“svn”,再按回车，如下图： 3.这我选择的是 Subversive,点击后面的“install”按钮，如下图 Eclipse 下连接 SVN 库有两种插件 —— Subclipse 与 Subversive &…...
C语言 cortex-A7核 UART总线 实验
一、C 1）uart4.h #ifndef __UART4_H__ #define __UART4_H__ #include "stm32mp1xx_rcc.h" #include "stm32mp1xx_gpio.h" #include "stm32mp1xx_uart.h&quo…...
不同走向地下管线的地质雷达响应特征分析
不同走向地下管线的地质雷达响应特征分析 前言 以PVC管线为例，建立不同走向（水平倾斜、垂直倾斜、水平相邻）的三维管线地质模型，进行三维地质雷达数据模拟，分析不同走向地下管线的地质雷达响应特征。 文章目录 不同…...
Nginx负载均衡详解
一、负载均衡介绍 1、负载均衡的定义 单体服务器解决不了并发量大的请求，所以，我们可以横向增加服务器的数量（集群），然后将请求分发到各个服务器上，将原先请求集中到单个服务器上的情况改为将请求分发到多…...
基于Spring Boot的宠物咖啡馆平台的设计与实现
目录 前言 一、技术栈 二、系统功能介绍 用户信息管理 看护师信息管理 宠物寄养管理 健康状况管理 点单 宠物体验 三、核心代码 1、登录模块 2、文件上传模块 3、代码封装 前言 随着信息技术在管理上越来越深入而广泛的应用，管理信息系统的实施在技术上已…...
TYVJ P1026 犁田机器人
描述 Farmer John為了让自己从无穷无尽的犁田工作中解放出来，於是买了个新机器人帮助他犁田。这个机器人可以完成犁田的任务，可惜有一个小小的缺点：这个犁田机器人一次只能犁一个边的长度是整数的长方形的田地。 因為FJ的田地有树和其他障碍…...
软件测试面试经验分享，真实面试题
前言 本人普通本科计算机专业，做测试也有3年的时间了，讲下我的经历，我刚毕业就进了一个小自研薪资还不错，有10.5k（个人觉得我很优秀），在里面呆了两年，积累了一些的经验和技能&#…...
计算机网络 - 链路层
计算机网络 - 链路层 计算机网络 - 链路层 基本问题 1. 封装成帧2. 透明传输3. 差错检测 信道分类 1. 广播信道2. 点对点信道 信道复用技术 1. 频分复用2. 时分复用3. 统计时分复用4. 波分复用5. 码分复用 CSMA/CD 协议PPP 协议MAC 地址局域网以太网交换机虚拟局域网 基本问题…...
5.wifi开发【智能家居：上】，开发准备：智能开关灯，智能采集温湿，智能调彩灯
一。wifi智能家居项目开发 【开发准备1】：继电器控制开发 1.智能开关 器件准备：wifi（esp8266，使用CP2102）继电器 结果： 2.继电器工作原理 （1）继电器是一种自动电气开关 ÿ…...
26523-2022 精制硫酸钴 随笔练习
声明 本文是学习GB-T 26523-2022 精制硫酸钴. 而整理的学习笔记,分享出来希望更多人受益,如果存在侵权请及时联系我们 1 范围 本文件规定了精制硫酸钴的要求、试验方法、检验规则、标志、标签、包装、运输和贮存。 本文件适用于精制硫酸钴。 注：该产品主要用于…...
企业该如何选择数字化转型工具？_光点科技
随着科技的不断进步和数字化的浪潮席卷全球，企业数字化转型已经成为了保持竞争力和持续增长的关键因素之一。无论企业规模大小，数字化转型都可以提高效率、降低成本、改善客户体验，从而实现更好的业务结果。然而，要成功进行数字化…...
算法与数据结构-Trie树
文章目录 什么是“Trie 树”？如何实现一棵 Trie 树？Trie 树真的很耗内存吗？Trie 树与散列表、红黑树的比较 什么是“Trie 树”？ Trie 树，也叫“字典树”。顾名思义，它是一个树形结构。它是一种专门处理字符…...
语音助手开发小记（2023.9.25）
通道问题 在使用函数swr_alloc_set_opts给SwrContext传递输入输出的音频参数时，需要设置通道，这里通道为2，但是通道布局不能传递2.比如AV_CH_LAYOUT_STEREO 实际值为3 如果要计算通道布局的通道数使用函数av_get_channel_layout_nb_channels…...
FastestDet---模型训练
代码：https://github.com/dog-qiuqiu/FastestDet 一、构造数据集 数据集格式YOLO相同，每张图片对应一个txt标签文件。标签格式:“category cx cy wh”，category为类别id，cx, cy为归一化标签框中心点的坐标，w, h为归一化标签框的宽度和高度， .txt标签文件内容示例如下: 0…...
基于SpringBoot的医院管理系统
目录 前言 一、技术栈 二、系统功能介绍 病床信息管理 药房信息管理 个人中心管理 药房信息 病床类别 科室信息管理 三、核心代码 1、登录模块 2、文件上传模块 3、代码封装 前言 随着信息互联网信息的飞速发展，医院也在创建着属于自己的管理系统。本文介…...
java图片转pdf ,pdf 导出
pom引入jar <dependency><groupId>org.apache.pdfbox</groupId><artifactId>pdfbox</artifactId><version>2.0.0-RC2</version></dependency> 转pdf方法 /*** 使用pdfbox将jpg转成pdf** throws IOException IOException*/pu…...
掌握Go的运行时：从编译到执行
目录 一、Go运行编译简介Go语言的目标和设计哲学运行时环境编译过程小结 二、执行环境操作系统与硬件层系统调用（Syscalls）虚拟内存 Go运行时（Runtime）Goroutine调度器内存管理和垃圾收集网络I/O代码示例：Go运行时调度…...
打造香港最安全便捷的银行，众安银行发布首份技术白皮书
作者：林海宾&李龙 作为香港金融科技的代表，香港虚拟银行通过科技驱动，为客户提供了安全、便捷、普惠的金融服务。在八间持牌的虚拟银行中，众安银行目前在用户数量、存款、资产和收入规模上均处于领先水平。最快120秒线上开户…...
Spring实现简单的Bean容器
1.BeanDefinition，用于定义 Bean 实例化信息，现在的实现是以一个 Object 存放对象 public class BeanDefinition {/*** bean对象*/private Object bean;/*** 存放 （定义）Bean 对象*/public BeanDefinition(Object bean) {this.bea…...
Python15题day13
③continue的好处 break是跳出循环体，continue是跳过continue语句后面的代码块，循环并不停止 题目要求: 使用input函数接受用户的输入，如果用户输入的数值小于等于10，则判断是奇数还是偶数如果数值大于10，则输出“输入…...
聊聊并发编程——多线程之AQS
目录 队列同步器（AQS） 独占锁示例 AQS之同步队列结构 解析AQS实现 队列同步器（AQS） 队列同步器AbstractQueuedSynchronizer（以下简称同步器），是用来构建锁或者其他同步组 件的基础框架&…...
DE0开发板交通灯十字路口红绿灯VHDL
名称：基于DE0开发板的交通灯十字路口红绿灯 软件：Quartus 语言：VHDL 要求： 设计一个十字路口交通信号灯的控制电路。分为两种情况，正常状态和报警状态。 1.正常状态：要求红、绿灯按一定的规律亮和灭&a…...
华为云云耀云服务器L实例评测使用 | 通过程序实现直播流自动分段录制
华为云云耀云服务器L实例评测使用 | 通过程序实现直播流自动分段录制 1. 准备工作2. 环境搭建3. 心得总结 1. 准备工作 随着云计算时代的进一步深入，越来越多的中小企业企业与开发者需要一款简单易用、高能高效的云计算基础设施产品来支撑自身业务运营和创新开发。基…...
前端教程-webpack
官网 webpack webpack基础 视频教程 尚硅谷Webpack5入门到原理（面试开发一条龙）...
white-space几种属性的用法（处理空格）
white-space：normal 文首的空格忽略，文本内部的换行符自动转成了空格。 white-space：nowrap 不换行，即使超出容器宽度 white-space：pre 与原文本一致，空格和换行符保留 white-space：pre-…...
Linux的历史
Linux的历史 前言： 关于Linux，你可能只是听说过它是一款操作系统，也许你还知道它是开源的，但在日常生活中，你更熟悉的是Windows。 那么我们为什么要了解、学习Linux，看完这一篇，你也许可以从…...
软考高级系统架构设计师系列论文真题八：论企业集成平台的技术与应用
软考高级系统架构设计师系列论文真题八：论企业集成平台的技术与应用 一、论企业集成平台的技术与应用二、找准核心论点三、理论素材准备四、精品范文赏析1.摘要2.正文3.总结软考高级系统架构设计师系列论文之：百篇软考高级架构设计师论文范文软考高级系统架构设计师系列之：论…...
[H5动画制作系列] 路径引导动画 Demo
代码参考1： <!DOCTYPE html> <html lang="en"><head><meta charset="UTF-8" /><meta name="viewport" content="width=device-width, initial-scale=1.0" /><title>路径引导动画 Demo1</tit…...
[React] Context上下文的使用
文章目录 1.Context的介绍2.为什么需要Context3.Context的使用 1.Context的介绍 Context旨在为React复杂嵌套的各个组件提供一个生命周期内的统一属性访问对象，从而避免我们出现当出现复杂嵌套结构的组件需要一层层通过属性传递值得问题。 Context是为了提供一个组…...
wordpress成品网站云部落/seoul是什么品牌
有时在网上下载的word 文档会带有保护密码，只能读，现介绍一个简单的方法，解轻松实现编辑。新建一个空白文档，把带有保护的文档内容全选，复制，再贴到新建的空白文档中，即可以。被锁定的文档示例图…...
好看的网站设计/武汉电脑培训学校有哪些
1.固定分配局部置换 系统为每个进程分配一定数量的物理块，在整个运行期间都不改变。若进程在运行中发生缺页，则只能从该进程在内存中的页面中选出一页换出，然后再调入需要的页面。这种策略的缺点是:很难在刚开始就确定应为每个进程分配多少个…...
企业简介模板免费下载/浙江搜索引擎优化
许多应用中会有视图圆角效果, 如头像会切成圆形样式显示 直接设置视图layer层属性//声明 property (nonatomic, strong) UIImageView *carImgView;//懒加载 - (UIImageView *)carImgView {if (!_carImgView) {_carImgView [[UIImageView alloc] initWithFrame:CGRectMake((kSc…...
设计师网站推荐/我要推广网
使用环境(蓝色粗体字为特别注意内容) 1、软件环境：Keil MDK 5.15 2、硬件环境：STM32F103C8T6最小系统 在项目中打算用基本定时器6作为延时定时器，编译发现报错：main.c(77): error: #20: identifier "RCC_APB1ENR_TIM6EN&qu…...
wordpress教程下载/今日热点新闻事件2022
IES Light Profiles(IES光源概述文件) 是一条曲线，该曲线在一段弧线中定义了光源强度，虚幻引擎4将会围绕某个轴旋转该弧线，从而使得 点光源 （和从技术上讲的 聚光源，下面会提供更多相关信息 ）看上去投射了更…...
大学生网站建设规划书/百度免费推广
目录专栏导读一、 顺丰高级开发工程师在线执行了 Redis 危险命令导致某公司损失 400 万二、测试一下1000万数据的性能1、编写脚本文件2、写入Redis1000万数据3、通过keys * 查看1000万数据4、通过配置文件禁止keys *的使用三、使用scan替代keys *四、拒绝bigkey1、阿里云Redis开…...