精华内容
下载资源
问答
  • 2019-12-03 16:25:27

    1. 权限管理

    1.1什么是权限管理

    权限管理包括用户身份认证和授权两部分,简称认证授权。
    对于需要访问控制的资源用户首先经过身份认证,认证通过后用户具有该资源的访问权限方可访问。

    1.2用户身份认证

    1.2.1 概念

    身份认证,就是判断一个用户是否为合法用户的处理过程。
    最常用的简单身份认证方式是系统通过核对用户输入的用户名和口令,看其是否与系统中存储的该用户的用户名和口令一致,来判断用户身份是否正确。对于采用指纹等系统,则出示指纹;对于硬件Key等刷卡系统,则需要刷卡。

    1.2.2 用户名密码身份认证流程

    在这里插入图片描述

    1.2.3 关键对象

    上边的流程图中需要理解以下关键对象:

    Subject:主体

    访问系统的用户,主体可以是用户、程序等,进行认证的都称为主体;

    Principal:身份信息

    是主体(subject)进行身份认证的标识,标识必须具有唯一性,如用户名、手机号、邮箱地址等,一个主体可以有多个身份,但是必须有一个主身份(Primary Principal)。

    credential:凭证信息

    是只有主体自己知道的安全信息,如密码、证书等。

    1.3 授权

    1.3.1 概念

    授权,即访问控制,控制谁能访问哪些资源。主体进行身份认证后需要分配权限方可访问系统的资源,对于某些资源没有权限是无法访问的。

    1.3.2 授权流程

    下图中橙色为授权流程。
    在这里插入图片描述

    1.3.3 关键对象

    授权可简单理解为who对what(which)进行How操作

    Who,即主体(Subject),主体需要访问系统中的资源。

    What,即资源(Resource),如系统菜单、页面、按钮、类方法、系统商品信息等。资源包括资源类型和资源实例,比如商品信息为资源类型,类型为t01的商品为资源实例,编号为001的商品信息也属于资源实例。

    How,权限/许可(Permission),规定了主体对资源的操作许可,权限离开资源没有意义,如用户查询权限、用户添加权限、某个类方法的调用权限、编号为001用户的修改权限等,通过权限可知主体对哪些资源都有哪些操作许可。

    权限分为粗颗粒和细颗粒
    粗颗粒权限是指对资源类型的权限,
    细颗粒权限是对资源实例的权限。

    主体、资源、权限关系如下图:
    在这里插入图片描述

    1.3.4 权限模型

    对上节中的主体、资源、权限通过数据模型表示。

    主体(账号、密码)

    资源(资源名称、访问地址)

    权限(权限名称、资源id)

    角色(角色名称)

    角色和权限关系(角色id、权限id)

    主体和角色关系(主体id、角色id)

    如下图:

    在这里插入图片描述
    通常企业开发中将资源和权限表合并为一张权限表,如下:

    资源(资源名称、访问地址)

    权限(权限名称、资源id)

    合并为:

    权限(权限名称、资源名称、资源访问地址)
    在这里插入图片描述
    上图常被称为权限管理的通用模型,不过企业在开发中根据系统自身的特点还会对上图进行修改,但是用户、角色、权限、用户角色关系、角色权限关系是需要去理解的。

    1.3.5 权限分配

    对主体分配权限,主体只允许在权限范围内对资源进行操作,比如:对u01用户分配商品修改权限,u01用户只能对商品进行修改。

    权限分配的数据通常需要持久化,根据上边的数据模型创建表并将用户的权限信息存储在数据库中。

    1.3.6 权限控制

    用户拥有了权限即可操作权限范围内的资源,系统不知道主体是否具有访问权限需要对用户的访问进行控制。

    1.3.6.1 基于角色的访问控制

    RBAC基于角色的访问控制(Role-Based Access Control)是以角色为中心进行访问控制,比如:主体的角色为总经理可以查询企业运营报表,查询员工工资信息等,访问控制流程如下:

    更多相关内容
  • 灵活的权限控制,满足绝大部分权限需求。
  • SpringBoot+Shiro权限管理系统脚手架 项目说明: 项目基于Rest ful风格的接口开发,属于前后端分离,该项目属于后端部分,主要应用了Shiro框架,结合SpringBoot,基于对用户,角色,权限开发的权限系统脚手架 技术...
  • 主要介绍了详解spring整合shiro权限管理与数据库设计,小编觉得挺不错的,现在分享给大家,也给大家做个参考。一起跟随小编过来看看吧
  • 一个完整的Shiro项目,实现了Shiro权限管理,附件里包括数据库结构(mysql),可直接运行
  • 适合学习SpringBoot、MyBatis、Shiro的开发小白,包含源码和数据脚本,文章地址:https://blog.csdn.net/u013343114/article/details/111592137
  • shiro权限管理示例

    2018-01-11 19:04:12
    自己整理的shiro权限管理的示例,希望对大家有帮助,现在急需积分,望支持
  • SpringBoot+Shiro权限管理系统脚手架.rar
  • shiro权限管理案例加文档 shiro权限管理案例加文档 shiro权限管理案例加文档
  • shiro权限管理实例

    2018-06-18 19:32:54
    shiro权限管理实例,内含sql脚本,运行sql 导入maven项目即可启动
  • 基本上涉及到用户参与的系统都要进行权限管理权限管理属于系统安全的范畴,权限管理实现对用户访问系统的控制,按照安全规则或者安全策略控制用户可以访问而且只能访问自己被授权的资源。权限管理包括用户身份认证...
  • Shiro权限管理详解

    千次阅读 2022-03-28 13:24:59
    基本上涉及到用户参与的系统都要进行权限管理权限管理属于系统安全的范畴,权限管理实现对用户访问系统的控制,按照安全规则或者安全策略控制用户可以访问而且只能访问自己被授权的资源。 权限管理包括用户身份...

    1权限管理1.1什么是权限管理

    基本上涉及到用户参与的系统都要进行权限管理,权限管理属于系统安全的范畴,权限管理实现对用户访问系统的控制,按照安全规则或者安全策略控制用户可以访问而且只能访问自己被授权的资源。

    权限管理包括用户身份认证和授权两部分,简称认证授权。对于需要访问控制的资源用户首先经过身份认证,认证通过后用户具有该资源的访问权限方可访问。

    1.2用户身份认证1.2.1概念

    身份认证,就是判断一个用户是否为合法用户的处理过程。最常用的简单身份认证方式是系统通过核对用户输入的用户名和口令,看其是否与系统中存储的该用户的用户名和口令一致,来判断用户身份是否正确。对于采用指纹等系统,则出示指纹;对于硬件Key等刷卡系统,则需要刷卡。

    1.2.2用户名密码身份认证流程

    1.2.3关键对象

    上边的流程图中需要理解以下关键对象:

    Subject:主体

    访问系统的用户,主体可以是用户、程序等,进行认证的都称为主体;

    Principal:身份信息

    是主体(subject)进行身份认证的标识,标识必须具有唯一性,如用户名、手机号、邮箱地址等,一个主体可以有多个身份,但是必须有一个主身份(PrimaryPrincipal)。

    credential:凭证信息

    是只有主体自己知道的安全信息,如密码、证书等。

    1.3授权1.3.1概念

    授权,即访问控制,控制谁能访问哪些资源。主体进行身份认证后需要分配权限方可访问系统的资源,对于某些资源没有权限是无法访问的。

    1.3.2授权流程

    下图中橙色为授权流程。

    1.3.3关键对象

    授权可简单理解为who对what(which)进行How操作:

    Who,即主体(Subject),主体需要访问系统中的资源。

    What,即资源(Resource),如系统菜单、页面、按钮、类方法、系统商品信息等。资源包括资源类型和资源实例,比如商品信息为资源类型,类型为t01的商品为资源实例,编号为001的商品信息也属于资源实例。

    How,权限/许可(Permission),规定了主体对资源的操作许可,权限离开资源没有意义,如用户查询权限、用户添加权限、某个类方法的调用权限、编号为001用户的修改权限等,通过权限可知主体对哪些资源都有哪些操作许可。

    权限分为粗颗粒和细颗粒,粗颗粒权限是指对资源类型的权限,细颗粒权限是对资源实例的权限。

    主体、资源、权限关系如下图:

    1.3.4权限模型

    对上节中的主体、资源、权限通过数据模型表示。

    主体(账号、密码)

    资源(资源名称、访问地址)

    权限(权限名称、资源id)

    角色(角色名称)

    角色和权限关系(角色id、权限id)

    主体和角色关系(主体id、角色id)

    如下图:

    通常企业开发中将资源和权限表合并为一张权限表,如下:

    资源(资源名称、访问地址)

    权限(权限名称、资源id)

    合并为:

    权限(权限名称、资源名称、资源访问地址)

    上图常被称为权限管理的通用模型,不过企业在开发中根据系统自身的特点还会对上图进行修改,但是用户、角色、权限、用户角色关系、角色权限关系是需要去理解的。

    1.3.5权限分配

    对主体分配权限,主体只允许在权限范围内对资源进行操作,比如:对u01用户分配商品修改权限,u01用户只能对商品进行修改。

    权限分配的数据通常需要持久化,根据上边的数据模型创建表并将用户的权限信息存储在数据库中。

    1.3.6权限控制

    用户拥有了权限即可操作权限范围内的资源,系统不知道主体是否具有访问权限需要对用户的访问进行控制。

    1.3.6.1基于角色的访问控制

    RBAC基于角色的访问控制(Role-Based Access Control)是以角色为中心进行访问控制,比如:主体的角色为总经理可以查询企业运营报表,查询员工工资信息等,访问控制流程如下:

    上图中的判断逻辑代码可以理解为:

    if(主体.hasRole(“总经理角色id”)){

    查询工资

    }

    缺点:以角色进行访问控制粒度较粗,如果上图中查询工资所需要的角色变化为总经理和部门经理,此时就需要修改判断逻辑为“判断主体的角色是否是总经理或部门经理”,系统可扩展性差。

    修改代码如下:

    if(主体.hasRole(“总经理角色id”) ||主体.hasRole(“部门经理角色id”)){

    查询工资

    }

    1.3.6.2基于资源的访问控制

    RBAC基于资源的访问控制(Resource-Based Access Control)是以资源为中心进行访问控制,比如:主体必须具有查询工资权限才可以查询员工工资信息等,访问控制流程如下:

    上图中的判断逻辑代码可以理解为:

    if(主体.hasPermission(“查询工资权限标识”)){

    查询工资

    }

    优点:系统设计时定义好查询工资的权限标识,即使查询工资所需要的角色变化为总经理和部门经理也只需要将“查询工资信息权限”添加到“部门经理角色”的权限列表中,判断逻辑不用修改,系统可扩展性强。

    1权限管理解决方案1.1粗颗粒度和细颗粒度1.1.1什么是粗颗粒度和细颗粒度

    对资源类型的管理称为粗颗粒度权限管理,即只控制到菜单、按钮、方法,粗粒度的例子比如:用户具有用户管理的权限,具有导出订单明细的权限。对资源实例的控制称为细颗粒度权限管理,即控制到数据级别的权限,比如:用户只允许修改本部门的员工信息,用户只允许导出自己创建的订单明细。

    1.1.2如何实现粗颗粒度和细颗粒度

    对于粗颗粒度的权限管理可以很容易做系统架构级别的功能,即系统功能操作使用统一的粗颗粒度的权限管理。

    对于细颗粒度的权限管理不建议做成系统架构级别的功能,因为对数据级别的控制是系统的业务需求,随着业务需求的变更业务功能变化的可能性很大,建议对数据级别的权限控制在业务层个性化开发,比如:用户只允许修改自己创建的商品信息可以在service接口添加校验实现,service接口需要传入当前操作人的标识,与商品信息创建人标识对比,不一致则不允许修改商品信息。

    1.2基于url拦截

    基于url拦截是企业中常用的权限管理方法,实现思路是:将系统操作的每个url配置在权限表中,将权限对应到角色,将角色分配给用户,用户访问系统功能通过Filter进行过虑,过虑器获取到用户访问的url,只要访问的url是用户分配角色中的url则放行继续访问。

    如下图:

    1.3使用权限管理框架

    对于权限管理基本上每个系统都有,使用权限管理框架完成权限管理功能的开发可以节省系统开发时间,并且权限管理框架提供了完善的认证和授权功能有利于系统扩展维护,但是学习权限管理框架是需要成本的,所以选择一款简单高效的权限管理框架显得非常重要。

    1基于url拦截实现1.1环境准备

    jdk:1.7.0_72

    web容器:tomcat7

    系统框架:springmvc3.2.0+mybatis3.2.7

    (详细参考springmvc教案)

    前台UI:jquery easyUI1.2.2

    1.2数据库

    创建mysql5.1数据库

    创建用户表、角色表、权限表、角色权限关系表、用户角色关系表。

    导入脚本,先导入shiro_sql_talbe.sql再导入shiro-sql_table_data.sql

    1.3activeUser用户身份类

    用户登陆成功记录activeUser信息并将activeUser存入session。

    1.4anonymousURL.properties

    anonymousURL.properties公开访问地址,无需身份认证即可访问。

    1.5commonURL.properties

    commonURL.properties公共访问地址,身份认证通过无需分配权限即可访问。

    1.6用户身份认证拦截器

    使用springmvc拦截器对用户身份认证进行拦截,如果用户没有登陆则跳转到登陆页面,本功能也可以使用filter实现 。

    1.7用户授权拦截器

    使用springmvc拦截器对用户访问url进行拦截,如果用户访问的url没有分配权限则跳转到无权操作提示页面(refuse.jsp),本功能也可以使用filter实现。

    1.8用户登陆

    用户输入用户账号和密码登陆,登陆成功将用户的身份信息(用户账号、密码、权限菜单、权限url等)记入activeUser类,并写入session。

    1.8.1controller

    1.8.2service接口

    1shiro介绍1.1什么是shiro

    Shiro是apache旗下一个开源框架,它将软件系统的安全认证相关的功能抽取出来,实现用户身份认证,权限授权、加密、会话管理等功能,组成了一个通用的安全认证框架。

    1.2为什么要学shiro

    既然shiro将安全认证相关的功能抽取出来组成一个框架,使用shiro就可以非常快速的完成认证、授权等功能的开发,降低系统成本。

    shiro使用广泛,shiro可以运行在web应用,非web应用,集群分布式应用中越来越多的用户开始使用shiro。

    java领域中spring security(原名Acegi)也是一个开源的权限管理框架,但是spring security依赖spring运行,而shiro就相对独立,最主要是因为shiro使用简单、灵活,所以现在越来越多的用户选择shiro。

    1.3Shiro架构

    1.3.1S****ubject

    Subject即主体,外部应用与subject进行交互,subject记录了当前操作用户,将用户的概念理解为当前操作的主体,可能是一个通过浏览器请求的用户,也可能是一个运行的程序。Subject在shiro中是一个接口,接口中定义了很多认证授相关的方法,外部程序通过subject进行认证授,而subject是通过SecurityManager安全管理器进行认证授权

    1.3.2SecurityManager

    SecurityManager即安全管理器,对全部的subject进行安全管理,它是shiro的核心,负责对所有的subject进行安全管理。通过SecurityManager可以完成subject的认证、授权等,实质上SecurityManager是通过Authenticator进行认证,通过Authorizer进行授权,通过SessionManager进行会话管理等。

    SecurityManager是一个接口,继承了Authenticator, Authorizer, SessionManager这三个接口。

    1.3.3Authenticator

    Authenticator即认证器,对用户身份进行认证,Authenticator是一个接口,shiro提供ModularRealmAuthenticator实现类,通过ModularRealmAuthenticator基本上可以满足大多数需求,也可以自定义认证器。

    1.3.4Authorizer

    Authorizer即授权器,用户通过认证器认证通过,在访问功能时需要通过授权器判断用户是否有此功能的操作权限。

    1.3.5realm

    Realm即领域,相当于datasource数据源,securityManager进行安全认证需要通过Realm获取用户权限数据,比如:如果用户身份数据在数据库那么realm就需要从数据库获取用户身份信息。

    注意:不要把realm理解成只是从数据源取数据,在realm中还有认证授权校验的相关的代码。

    1.3.6sessionManager

    sessionManager即会话管理,shiro框架定义了一套会话管理,它不依赖web容器的session,所以shiro可以使用在非web应用上,也可以将分布式应用的会话集中在一点管理,此特性可使它实现单点登录。

    1.3.7SessionDAO

    SessionDAO即会话dao,是对session会话操作的一套接口,比如要将session存储到数据库,可以通过jdbc将会话存储到数据库。

    1.3.8CacheManager

    CacheManager即缓存管理,将用户权限数据存储在缓存,这样可以提高性能。

    1.3.9Cryptography

    Cryptography即密码管理,shiro提供了一套加密/解密的组件,方便开发。比如提供常用的散列、加/解密等功能。

    1.4shiro的jar包

    与其它java开源框架类似,将shiro的jar包加入项目就可以使用shiro提供的功能了。shiro-core是核心包必须选用,还提供了与web整合的shiro-web、与spring整合的shiro-spring、与任务调度quartz整合的shiro-quartz等,下边是shiro各jar包的maven坐标。

    org.apache.shiro

    shiro-core

    1.2.3

    org.apache.shiro

    shiro-web

    1.2.3

    org.apache.shiro

    shiro-spring

    1.2.3

    org.apache.shiro

    shiro-ehcache

    1.2.3

    org.apache.shiro

    shiro-quartz

    1.2.3

    也可以通过引入shiro-all包括shiro所有的包:

    org.apache.shiro

    shiro-all

    1.2.3

    参考lib目录 :

    1shiro认证1.1认证流程

    1.2入门程序(用户登陆和退出)1.2.1创建java工程

    jdk版本:1.7.0_72

    eclipse:elipse-indigo

    1.2.2加入shiro-core的Jar包及依赖包

    1.2.3log4j.properties日志配置文件

    log4j.rootLogger=debug, stdout

    log4j.appender.stdout=org.apache.log4j.ConsoleAppender

    log4j.appender.stdout.layout=org.apache.log4j.PatternLayout

    log4j.appender.stdout.layout.ConversionPattern=%d %p [%c] - %m %n

    1.2.4 shiro.ini

    通过Shiro.ini配置文件初始化SecurityManager环境。

    配置eclipse支持ini文件编辑:

    在eclipse配置后,在classpath创建shiro.ini配置文件,为了方便测试将用户名和密码配置的shiro.ini配置文件中:

    [users]

    zhang=123

    lisi=123

    1.2.5认证代码

    1.2.6认证执行流程

    1、创建token令牌,token中有用户提交的认证信息即账号和密码

    2、执行subject.login(token),最终由securityManager通过Authenticator进行认证

    3、 Authenticator的实现ModularRealmAuthenticator调用realm从ini配置文件取用户真实的账号和密码,这里使用的是IniRealm(shiro自带)

    4、 IniRealm先根据token中的账号去ini中找该账号,如果找不到则给ModularRealmAuthenticator返回null,如果找到则匹配密码,匹配密码成功则认证通过。

    1.2.7常见的异常

    UnknownAccountException

    账号不存在异常如下:

    org.apache.shiro.authc.UnknownAccountException: No account found for user。。。。

    IncorrectCredentialsException

    当输入密码错误会抛此异常,如下:

    org.apache.shiro.authc.IncorrectCredentialsException: Submitted credentials for token [org.apache.shiro.authc.UsernamePasswordToken - zhangsan, rememberMe=false] did not match the expected credentials.

    更多如下:

    DisabledAccountException(帐号被禁用)

    LockedAccountException(帐号被锁定)

    ExcessiveAttemptsException(登录失败次数过多)

    ExpiredCredentialsException(凭证过期)等

    1.3自定义Realm

    上边的程序使用的是Shiro自带的IniRealm,IniRealm从ini配置文件中读取用户的信息,大部分情况下需要从系统的数据库中读取用户信息,所以需要自定义realm。

    1.3.1shiro提供的realm

    最基础的是Realm接口,CachingRealm负责缓存处理,AuthenticationRealm负责认证,AuthorizingRealm负责授权,通常自定义的realm继承AuthorizingRealm。

    1.3.2自定义Realm

    1.3.3shiro-realm.ini

    [main]

    #自定义realm

    customRealm=cn.itcast.shiro.authentication.realm.CustomRealm1

    #将realm设置到securityManager

    securityManager.realms=$customRealm

    思考:这里为什么不用配置[users]了??

    1.3.4测试代码

    测试代码同入门程序,将ini的地址修改为shiro-realm.ini。

    分别模拟账号不存在、密码错误、账号和密码正确进行测试。

    1.4散列算法

    散列算法一般用于生成一段文本的摘要信息,散列算法不可逆,将内容可以生成摘要,无法将摘要转成原始内容。散列算法常用于对密码进行散列,常用的散列算法有MD5、SHA。

    一般散列算法需要提供一个salt(盐)与原始内容生成摘要信息,这样做的目的是为了安全性,比如:111111的md5值是:96e79218965eb72c92a549dd5a330112,拿着“96e79218965eb72c92a549dd5a330112”去md5破解网站很容易进行破解,如果要是对111111和salt(盐,一个随机数)进行散列,这样虽然密码都是111111加不同的盐会生成不同的散列值。

    1.4.1例子

    1.4.2在realm中使用

    实际应用是将盐和散列后的值存在数据库中,自动realm从数据库取出盐和加密后的值由shiro完成密码校验。

    1.4.2.1自定义realm

    1.4.2.2realm配置

    配置shiro-cryptography.ini

    1.4.2.3测试代码

    测试代码同上个章节,注意修改ini路径。

    1shiro授权1.1授权流程

    1.2授权方式

    Shiro支持三种方式的授权:

    **编程式:**通过写if/else授权代码块完成:

    Subject subject = SecurityUtils.getSubject();

    if(subject.hasRole(“admin”)) {

    //有权限

    } else {

    //无权限

    }

    **注解式:**通过在执行的Java方法上放置相应的注解完成:

    @RequiresRoles(“admin”)

    public void hello() {

    //有权限

    }

    **JSP/GSP标签:**在JSP/GSP页面通过相应的标签完成:

    <shiro:hasRole name=“admin”>

    <!— 有权限—>

    </shiro:hasRole>

    本教程序授权测试使用第一种编程方式,实际与web系统集成使用后两种方式。

    1.3授权测试1.3.1shiro-permission.ini

    创建存放权限的配置文件shiro-permission.ini,如下:

    在ini文件中用户、角色、权限的配置规则是:“用户名=密码,角色1,角色2…” “角色=权限1,权限2…”,首先根据用户名找角色,再根据角色找权限,角色是权限集合。

    1.3.2权限字符串规则

    权限字符串的规则是:“资源标识符:操作:资源实例标识符”,意思是对哪个资源的哪个实例具有什么操作,“:”是资源/操作/实例的分割符,权限字符串也可以使用*通配符。

    例子:

    用户创建权限:user:create,或user:create:*

    用户修改实例001的权限:user:update:001

    用户实例001的所有权限:user:*:001

    1.3.3测试代码

    测试代码同认证代码,注意ini地址改为shiro-permission.ini,主要学习下边授权的方法,注意:在用户认证通过后执行下边的授权代码。

    1.3.4基于角色的授权

    对应的check方法:

    上边check方法如果授权失败则抛出异常:

    org.apache.shiro.authz.UnauthorizedException: Subject does not have role […]

    1.3.5基于资源授权

    对应的check方法:

    上边check方法如果授权失败则抛出异常:

    org.apache.shiro.authz.UnauthorizedException: Subject does not have permission […]

    1.4自定义realm

    与上边认证自定义realm一样,大部分情况是要从数据库获取权限数据,这里直接实现基于资源的授权。

    1.4.1realm代码

    在认证章节写的自定义realm类中完善doGetAuthorizationInfo方法,此方法需要完成:根据用户身份信息从数据库查询权限字符串,由shiro进行授权。

    1.4.2shiro-realm.ini

    ini配置文件还使用认证阶段使用的,不用改变。

    思考:shiro-permission.ini中的[roles]为什么不需要了??

    1.4.3测试代码

    同上边的授权测试代码,注意修改ini地址为shiro-realm.ini。

    1.4.4授权执行流程

    1、执行subject.isPermitted(“user:create”)

    2、securityManager通过ModularRealmAuthorizer进行授权

    3、ModularRealmAuthorizer调用realm获取权限信息

    4、ModularRealmAuthorizer再通过permissionResolver解析权限字符串,校验是否匹配

    1shiro与项目集成开发

    1.1shiro与spring web项目整合

    shiro与springweb项目整合在“基于url拦截实现的工程”基础上整合,基于url拦截实现的工程的技术架构是springmvc+mybatis,整合注意两点:

    1、shiro与spring整合

    2、加入shiro对web应用的支持

    1.1.1取消原springmvc认证和授权拦截器

    去掉springmvc.xml中配置的LoginInterceptor和PermissionInterceptor拦截器。

    1.1.2加入shiro的jar包

    1.1.3web.xml添加shiro Filter

    1.1.4applicationContext-shiro.xml

    securityManager:这个属性是必须的。

    loginUrl:没有登录认证的用户请求将跳转到此地址进行认证,不是必须的属性,不输入地址的话会自动寻找项目web项目的根目录下的”/login.jsp”页面。

    unauthorizedUrl:没有权限默认跳转的页面。

    1.1.5自定义realm

    此realm先不从数据库查询权限数据,当前需要先将shiro整合完成,在上边章节定义的realm基础上修改。

    1.1.6登录

    1.1.7首页

    由于session由shiro管理,需要修改首页的controller方法,将session中的数据通过model传到页面。

    1.1.8退出

    由于使用shiro的sessionManager,不用开发退出功能,使用shiro的logout拦截器即可。

    /logout.action = logout

    1.1.9无权限refuse.jsp

    当用户无操作权限,shiro将跳转到refuse.jsp页面。

    1.1.10shiro过虑器总结

    **anon:**例子/admins/**=anon没有参数,表示可以匿名使用。

    **authc:**例如/admins/user/**=authc表示需要认证(登录)才能使用,FormAuthenticationFilter是表单认证,没有参数

    **roles:**例子/admins/user/**=roles[admin],参数可以写多个,多个时必须加上引号,并且参数之间用逗号分割,当有多个参数时,例如admins/user/**=roles[“admin,guest”],每个参数通过才算通过,相当于hasAllRoles()方法。

    **perms:**例子/admins/user/**=perms[user:add:*],参数可以写多个,多个时必须加上引号,并且参数之间用逗号分割,例如/admins/user/**=perms[“user:add:*,user:modify:*”],当有多个参数时必须每个参数都通过才通过,想当于isPermitedAll()方法。

    **rest:**例子/admins/user/**=rest[user],根据请求的方法,相当于/admins/user/**=perms[user:method] ,其中method为post,get,delete等。

    **port:**例子/admins/user/**=port[8081],当请求的url的端口不是8081是跳转到schemal://serverName:8081queryString,其中schmal是协议http或https等,serverName是你访问的host,8081是url配置里port的端口,queryString是你访问的url里的?后面的参数。

    **authcBasic:**例如/admins/user/**=authcBasic没有参数表示httpBasic认证

    **ssl:**例子/admins/user/**=ssl没有参数,表示安全的url请求,协议为https

    **user:**例如/admins/user/**=user没有参数表示必须存在用户,身份认证通过或通过记住我认证通过的可以访问,当登入操作时不做检查

    注:

    anon,authcBasic,auchc,user是认证过滤器,

    perms,roles,ssl,rest,port是授权过滤器

    1.2认证1.2.1添加凭证匹配器

    添加凭证匹配器实现md5加密校验。

    修改applicationContext-shiro.xml:

    1.2.2修改realm认证方法

    修改realm代码从数据库中查询用户身份信息,将sysService注入realm。

    1.3授权1.3.1修改realm授权方法

    修改realm代码从数据库中查询权限信息,将sysService注入realm。

    1.3.2对controller开启AOP

    在springmvc.xml中配置shiro注解支持,可在controller方法中使用shiro注解配置权限:

    1.3.3权限注解控制

    商品查询controller方法添加权限(item:query):

    上边代码@RequiresPermissions(“item:query”)表示必须拥有“item:query”权限方可执行。

    同理,商品修改controller方法添加权限(item:update):

    1.3.4jsp标签控制1.3.4.1标签介绍

    Jsp页面添加:

    <%@ tagliburi="http://shiro.apache.org/tags"prefix=“shiro” %>

    1.3.4.2jsp页面添加标签

    如果有商品修改权限页面显示“修改”链接。

    1.4缓存

    shiro每次授权都会通过realm获取权限信息,为了提高访问速度需要添加缓存,第一次从realm中读取权限数据,之后不再读取,这里Shiro和Ehcache整合。

    1.4.1添加Ehcache的jar包

    1.4.2配置****cacheManager

    在applicationContext-shiro.xml中配置缓存管理器。

    1.4.3配置shiro-ehcache.xml

    1.4.4清空缓存

    当用户权限修改后,用户再次登陆shiro会自动调用realm从数据库获取权限数据,如果在修改权限后想立即清除缓存则可以调用realm的clearCache方法清除缓存。

    realm中定义clearCached方法:

    在权限修改后调用realm中的方法,realm已经由spring管理,所以从spring中获取realm实例,调用clearCached方法。

    1.5session管理

    在applicationContext-shiro.xml中配置sessionManager:

    1.6验证码1.6.1自定义****FormAuthenticationFilter

    需要在验证账号和名称之前校验验证码。

    1.6.2FormAuthenticationFilter****配置

    修改applicationContext-shiro.xml中对FormAuthenticationFilter的配置。

    在shiroFilter中添加filters:

    formAuthenticationFilter定义

    1.6.3登陆页面

    添加验证码:

    1.6.4配置validatecode.jsp匿名访问

    修改applicationContext-shiro.xml:

    1.7记住我

    用户登陆选择“自动登陆”本次登陆成功会向cookie写身份信息,下次登陆从cookie中取出身份信息实现自动登陆。

    1.7.1用户身份实现java.io.Serializable接口

    向cookie记录身份信息需要用户身份信息对象实现序列化接口,如下:

    1.7.2配置****rememberMeManager

    1.7.3FormAuthenticationFilter****配置

    修改formAuthenticationFitler添加页面中“记住我checkbox”的input名称:

    1.7.4登陆页面

    在login.jsp中添加“记住我”checkbox。

    展开全文
  • spring+mybatis+shiro整合。。。简单入门案例,maven项目
  • springboot-shiro权限管理系统 包括认证登录,权限管理,操作日志等,前端采用bootstrap UI
  • shiro基本权限基础上优化登录 缓存 动态权限等功能!
  • Spring Boot 2.0.4 & Shiro1.4.0 权限管理系统。 文章地址:https://xttblog.blog.csdn.net/article/details/88353878 FEBS是一个简单高效的后台权限管理系统。项目基础框架采用全新的Java Web开发框架 —— Spring ...
  • 自己编写的基于shiro权限管理,里面有数据库sql文件,可以直接运行,改一下数据库配置连接就行了,里面admin1-4的密码为000000;其余账号的密码为123456.欢迎大家下载使用。有问题多交流
  • shiro权限管理框架.pdf

    2020-12-29 15:33:35
    shiroshiro权限管理框架,本文档详细介绍了shiro权限管理框架在JavaWeb项目中的配置以及使用
  • SSM+Shiro权限管理Demo

    2017-11-28 19:43:39
    SSM和Shiro结合构建权限管理,包括表设计。前端页面展示设计。
  • 为您提供bootshiro权限管理系统下载,bootshiro是基于springboot+shiro+jwt的真正restful URL资源无状态认证权限管理系统的后端,前端usthe。区别于一般,提供页面可配置式的,动态的 restful api 安全管理支持。...
  • Go语言版本的权限管理服务平台, 利用shiro权限管理设计思想, 支持单用户多角色,可以具体到对某一个资源进行权限控制,比RBAC的资源管理更细粒度化。
  • 实现shiro权限管理,mysql
  • SpringMVC+shiro权限管理

    2018-04-02 10:42:28
    SpringMVC Shiro Maven Mybatis Easyui Mysql 多数据源 日志 权限管理系统
  • shiro权限管理(一)

    2019-08-08 01:26:10
    NULL 博文链接:https://tablemiao.iteye.com/blog/2163210
  • 基于ssm快速整合shiro权限
  • Shiro权限管理 的jar包 ,一些example ,shiro资料笔记与核心单词
  • Springboot+shiro权限管理

    2021-01-30 00:03:23
    Springboot+shiro权限管理。这或许是流程最详细、代码最干净、配置最简单的shiro上手项目
  • Shiro是apache旗下一个开源框架,它将软件系统的安全认证相关的功能抽取出来,实现用户身份认证,权限授权、加密、会话管理等功能,组成了一个通用的安全认证框架

空空如也

空空如也

1 2 3 4 5 ... 20
收藏数 32,922
精华内容 13,168
关键字:

shiro权限管理