SpringBoot2开发之SpringBoot整合Shiro两种详细方法

Shiro是一个强大且易于使用的Java安全框架，可以提供身份验证、授权、加密和会话管理等功能。本文将详细讲解如何在Spring Boot应用程序中整合Shiro，包括两种详细方法。

方法一：使用Shiro Spring Boot Starter

Shiro Spring Boot Starter是一个官方提供的快速集成Shiro的工具。使用该工具可以快速地将Shiro集成到Spring Boot应用程序中。以下是一个示例：

1. 在pom.xml文件中添加Shiro Spring Boot Starter依赖：

<dependency>
    <groupId>org.apache.shiro</groupId>
    <artifactId>shiro-spring-boot-starter</artifactId>
    <version>1.6.0</version>
</dependency>

1. 创建一个Shiro配置类：

@Configuration
public class ShiroConfig {
    @Bean
    public ShiroFilterFactoryBean shiroFilterFactoryBean(SecurityManager securityManager) {
        ShiroFilterFactoryBean shiroFilterFactoryBean = new ShiroFilterFactoryBean();
        shiroFilterFactoryBean.setSecurityManager(securityManager);
        Map<String, String> filterChainDefinitionMap = new LinkedHashMap<>();
        filterChainDefinitionMap.put("/login", "anon");
        filterChainDefinitionMap.put("/**", "authc");
        shiroFilterFactoryBean.setFilterChainDefinitionMap(filterChainDefinitionMap);
        return shiroFilterFactoryBean;
    }

    @Bean
    public SecurityManager securityManager() {
        DefaultWebSecurityManager securityManager = new DefaultWebSecurityManager();
        securityManager.setRealm(realm());
        return securityManager;
    }

    @Bean
    public Realm realm() {
        return new MyRealm();
    }
}

在上面的示例中，我们使用@Configuration注解定义了一个名为ShiroConfig的配置类。使用@Bean注解定义了三个Bean：ShiroFilterFactoryBean、SecurityManager和Realm。在ShiroFilterFactoryBean中定义了一个过滤器链，将/login路径设置为匿名访问，其他路径需要进行身份验证。在SecurityManager中设置了Realm。在Realm中定义了身份验证和授权规则。

1. 创建一个Realm类：

public class MyRealm extends AuthorizingRealm {
    @Override
    protected AuthorizationInfo doGetAuthorizationInfo(PrincipalCollection principals) {
        SimpleAuthorizationInfo authorizationInfo = new SimpleAuthorizationInfo();
        authorizationInfo.addRole("admin");
        authorizationInfo.addStringPermission("user:read");
        return authorizationInfo;
    }

    @Override
    protected AuthenticationInfo doGetAuthenticationInfo(AuthenticationToken token) throws AuthenticationException {
        UsernamePasswordToken usernamePasswordToken = (UsernamePasswordToken) token;
        String username = usernamePasswordToken.getUsername();
        String password = new String(usernamePasswordToken.getPassword());
        if ("admin".equals(username) && "123456".equals(password)) {
            return new SimpleAuthenticationInfo(username, password, getName());
        } else {
            throw new AuthenticationException("用户名或密码错误");
        }
    }
}

在上面的示例中，我们创建了一个名为MyRealm的Realm类，继承了AuthorizingRealm类。在doGetAuthorizationInfo()方法中定义了授权规则，在doGetAuthenticationInfo()方法中定义了身份验证规则。

1. 创建一个登录接口：

@RestController
public class LoginController {
    @PostMapping("/login")
    public String login(String username, String password) {
        Subject subject = SecurityUtils.getSubject();
        UsernamePasswordToken token = new UsernamePasswordToken(username, password);
        try {
            subject.login(token);
            return "登录成功";
        } catch (AuthenticationException e) {
            return "用户名或密码错误";
        }
    }
}

在上面的示例中，我们创建了一个名为LoginController的RESTful控制器。使用@PostMapping注解定义了一个POST请求处理方法。在该方法中，使用SecurityUtils.getSubject()获取Subject对象，使用UsernamePasswordToken封装用户名和密码，调用subject.login()方法进行身份验证。

方法二：手动集成Shiro

手动集成Shiro需要手动配置Shiro的各个组件，包括SecurityManager、Realm、Filter等。以下是一个示例：

1. 在pom.xml文件中添加Shiro依赖：

<dependency>
    <groupId>org.apache.shiro</groupId>
    <artifactId>shiro-core</artifactId>
    <version>1.6.0</version>
</dependency>

1. 创建一个Shiro配置类：

@Configuration
public class ShiroConfig {
    @Bean
    public ShiroFilterFactoryBean shiroFilterFactoryBean(SecurityManager securityManager) {
        ShiroFilterFactoryBean shiroFilterFactoryBean = new ShiroFilterFactoryBean();
        shiroFilterFactoryBean.setSecurityManager(securityManager);
        Map<String, String> filterChainDefinitionMap = new LinkedHashMap<>();
        filterChainDefinitionMap.put("/login", "anon");
        filterChainDefinitionMap.put("/**", "authc");
        shiroFilterFactoryBean.setFilterChainDefinitionMap(filterChainDefinitionMap);
        return shiroFilterFactoryBean;
    }

    @Bean
    public SecurityManager securityManager() {
        DefaultWebSecurityManager securityManager = new DefaultWebSecurityManager();
        securityManager.setRealm(realm());
        return securityManager;
    }

    @Bean
    public Realm realm() {
        return new MyRealm();
    }
}

在上面的示例中，我们使用@Configuration注解定义了一个名为ShiroConfig的配置类。使用@Bean注解定义了三个Bean：ShiroFilterFactoryBean、SecurityManager和Realm。在ShiroFilterFactoryBean中定义了一个过滤器链，将/login路径设置为匿名访问，其他路径需要进行身份验证。在SecurityManager中设置了Realm。在Realm中定义了身份验证和授权规则。

1. 创建一个Realm类：

public class MyRealm extends AuthorizingRealm {
    @Override
    protected AuthorizationInfo doGetAuthorizationInfo(PrincipalCollection principals) {
        SimpleAuthorizationInfo authorizationInfo = new SimpleAuthorizationInfo();
        authorizationInfo.addRole("admin");
        authorizationInfo.addStringPermission("user:read");
        return authorizationInfo;
    }

    @Override
    protected AuthenticationInfo doGetAuthenticationInfo(AuthenticationToken token) throws AuthenticationException {
        UsernamePasswordToken usernamePasswordToken = (UsernamePasswordToken) token;
        String username = usernamePasswordToken.getUsername();
        String password = new String(usernamePasswordToken.getPassword());
        if ("admin".equals(username) && "123456".equals(password)) {
            return new SimpleAuthenticationInfo(username, password, getName());
        } else {
            throw new AuthenticationException("用户名或密码错误");
        }
    }
}

在上面的示例中，我们创建了一个名为MyRealm的Realm类，继承了AuthorizingRealm类。在doGetAuthorizationInfo()方法中定义了授权规则，在doGetAuthenticationInfo()方法中定义了身份验证规则。

1. 创建一个登录接口：

@RestController
public class LoginController {
    @PostMapping("/login")
    public String login(String username, String password) {
        Subject subject = SecurityUtils.getSubject();
        UsernamePasswordToken token = new UsernamePasswordToken(username, password);
        try {
            subject.login(token);
            return "登录成功";
        } catch (AuthenticationException e) {
            return "用户名或密码错误";
        }
    }
}

在上面的示例中，我们创建了一个名为LoginController的RESTful控制器。使用@PostMapping注解定义了一个POST请求处理方法。在该方法中，使用SecurityUtils.getSubject()获取Subject对象，使用UsernamePasswordToken封装用户名和密码，调用subject.login()方法进行身份验证。

总结

在本文中，我们详细讲解了两种方法如何在Spring Boot应用程序中整合Shiro，包括使用Shiro Spring Boot Starter和手动集成Shiro。同时，我们提供了多个示例，演示了如何实现身份验证和授权。这些技巧可以帮助您更好地使用Shiro保护您的应用程序。