Spring Boot集成Shiro并利用MongoDB做Session存储的方法详解

我来为您详细讲解“Spring Boot集成Shiro并利用MongoDB做Session存储的方法详解”。

简介

Shiro是一款强大且易于使用的Java安全框架，它能够以非常简单明了的方式，来保护任何应用程序。而Spring Boot是一款快速创建Spring应用程序的框架，并提供嵌入式Tomcat以及其他便利的功能。

本文将介绍如何在Spring Boot项目中集成Shiro，并采用MongoDB做Session存储。Shiro通常是使用内存或者JDBC方式来存储会话数据，但是这些方式通常存在一些问题，如会话数据无法共享、无法扩展、无法保证高可用性等。而采用MongoDB来存储，能够解决这些问题，同时也非常适合用于分布式系统中。

集成Shiro和MongoDB

第一步：在pom.xml中添加相关依赖

<dependency>
    <groupId>org.apache.shiro</groupId>
    <artifactId>shiro-core</artifactId>
    <version>${shiro.version}</version>
</dependency>

<dependency>
    <groupId>org.apache.shiro</groupId>
    <artifactId>shiro-web</artifactId>
    <version>${shiro.version}</version>
</dependency>

<dependency>
    <groupId>org.apache.shiro</groupId>
    <artifactId>shiro-ehcache</artifactId>
    <version>${shiro.version}</version>
</dependency>

<dependency>
    <groupId>com.mongodb</groupId>
    <artifactId>mongo-java-driver</artifactId>
    <version>3.5.0</version>
</dependency>

<dependency>
    <groupId>com.github.starnowski</groupId>
    <artifactId>spring-data-mongodb-shiro-session-manager</artifactId>
    <version>1.8.1</version>
</dependency>

第二步：配置Shiro

在Spring Boot项目中，我们可以使用ShiroFilterFactoryBean对Shiro进行配置。在下面的代码中，我们配置了Shiro的登录、登出、授权等相关过滤器。

@Bean
public ShiroFilterFactoryBean shiroFilter(SecurityManager securityManager) {
    ShiroFilterFactoryBean shiroFilter = new ShiroFilterFactoryBean();
    shiroFilter.setSecurityManager(securityManager);

    Map<String,String> filterChainDefinitionMap = new LinkedHashMap<>();
    filterChainDefinitionMap.put("/logout", "logout");

    filterChainDefinitionMap.put("/admin/**", "authc,roles[admin]");
    filterChainDefinitionMap.put("/**", "anon");


    shiroFilter.setFilterChainDefinitionMap(filterChainDefinitionMap);
    return shiroFilter;
}

第三步：配置Session管理器

在和Shiro集成的情况下，我们需要使用Session管理器来管理会话。我们可以自定义一个下面的Session管理器（Code copied from spring-data-mongodb-shiro-session-manager ）。

@Configuration
public class SessionConfig {

    @Value("${spring.session.timeout}")
    private long sessionTimeoutMs;

    @Autowired
    private MongoClient mongoClient;

    /**
     * Default cookie name is rememberMe, rememberMe is disabled by default.
     * Authentication will be stored in cookie 'JSESSIONID' with Httponly flag 'true'.
     */
    @Bean(name = "sessionIdCookieTemplate")
    public SimpleCookie sessionIdCookieTemplate() {
        SimpleCookie cookie = new SimpleCookie("MongoDB-ShiroSession");
        cookie.setHttpOnly(true);
        cookie.setMaxAge(StringUtils.toInt(Long.toString(this.sessionTimeoutMs / 1000)));
        return cookie;
    }

    @Bean(name = "sessionDAO")
    public MongoSessionDAO mongoSessionDao() {
        MongoSessionDAO mongoSessionDAO = new MongoSessionDAO();
        mongoSessionDAO.setMongoCollectionFactory(mongoCollectionFactory());
        mongoSessionDAO.setExpireAfter(sessionTimeoutMs);
        mongoSessionDAO.init();
        return mongoSessionDAO;
    }

    @Bean(name="sessionManager")
    public DefaultWebSessionManager sessionManager() {
        DefaultWebSessionManager sessionManager = new DefaultWebSessionManager();
        sessionManager.setSessionValidationInterval(this.sessionTimeoutMs);
        sessionManager.setDeleteInvalidSessions(true);
        sessionManager.setSessionIdCookieEnabled(true);
        sessionManager.setSessionIdCookie(sessionIdCookieTemplate());

        DefaultWebSessionManagerClient client = new DefaultWebSessionManagerClient();
        client.setSessionValidationSchedulerEnabled(true);
        client.setSessionDAO(mongoSessionDao());
        sessionManager.setSessionManagerClient(client);
        return sessionManager;
    }

    @Bean(name="mongoCollectionFactory")
    public MongoCollectionFactory mongoCollectionFactory() {
        return new SimpleMongoCollectionFactory("test", mongoClient);
    }

    @Bean(name="securityManager")
    public MavenSecurityManager securityManager() {
        final MavenSecurityManager mavenSecurityManager = new MavenSecurityManager();
        mavenSecurityManager.setRealm(userRealm());
        mavenSecurityManager.setSessionManager(sessionManager());
        return mavenSecurityManager;
    }
}

其中mongoClient需要注入MongoDB的客户端对象。

示例说明

以下是一个简单的示例，用于校验用户身份和角色。

@PostMapping(value = "/login")
public String login(@RequestParam("username") String username, @RequestParam("password") String password) {

    Subject subject = SecurityUtils.getSubject();
    UsernamePasswordToken token = new UsernamePasswordToken(username, password);
    try {
        subject.login(token);
    } catch (AuthenticationException e) {
        return "Invalid username/password combination. Please try again.";
    }

    return "You were logged in successfully.";
}

@GetMapping("/protected-resource")
@RequiresRoles("admin")
public String protectedResource() {
    return "This is a protected resource.";
}

在上述代码中，我们使用post请求传递用户名和密码。Shiro将根据用户名和密码进行身份验证，如果验证成功，将允许访问受保护的资源。

在受保护的资源中，我们使用了@RequiresRoles注解，指定只有角色为admin的用户才能访问该资源。

以上是本文介绍的“Spring Boot集成Shiro并利用MongoDB做Session存储的方法详解”，希望对您有所帮助。