spring boot集成shiro详细教程(小结)

Spring Boot集成Shiro是一个非常常见的需求，它可以帮助我们更好地管理应用程序的安全性。以下是Spring Boot集成Shiro的完整攻略：

1. 添加Shiro依赖

在Spring Boot中，我们可以使用Maven或Gradle来添加Shiro依赖。以下是一个Maven的示例：

<dependency>
    <groupId>org.apache.shiro</groupId>
    <artifactId>shiro-spring-boot-starter</artifactId>
    <version>1.7.1</version>
</dependency>

在上面的示例中，我们添加了shiro-spring-boot-starter依赖，它包含了Shiro的核心功能和Spring Boot的集成支持。

1. 配置Shiro

在Spring Boot中，我们可以使用application.properties或application.yml文件来配置Shiro。以下是一个application.yml的示例：

shiro:
  filter-chain-definition-map:
    /login: anon
    /logout: logout
    /**: authc
  login-url: /login
  success-url: /index
  unauthorized-url: /unauthorized

在上面的示例中，我们使用shiro前缀来配置Shiro。我们使用filter-chain-definition-map属性来定义URL过滤器链。我们使用login-url属性来指定登录URL，success-url属性来指定登录成功后的URL，unauthorized-url属性来指定未授权访问的URL。

1. 配置Shiro Realm

在Spring Boot中，我们需要实现Shiro Realm接口来提供身份验证和授权服务。以下是一个示例：

@Component
public class MyRealm extends AuthorizingRealm {
    @Autowired
    private UserService userService;

    @Override
    protected AuthorizationInfo doGetAuthorizationInfo(PrincipalCollection principals) {
        // TODO: implement authorization
        return null;
    }

    @Override
    protected AuthenticationInfo doGetAuthenticationInfo(AuthenticationToken token) throws AuthenticationException {
        String username = (String) token.getPrincipal();
        User user = userService.findByUsername(username);
        if (user == null) {
            throw new UnknownAccountException("User not found with username: " + username);
        }
        return new SimpleAuthenticationInfo(user.getUsername(), user.getPassword(), getName());
    }
}

在上面的示例中，我们创建了一个名为MyRealm的Shiro Realm，并实现了doGetAuthorizationInfo和doGetAuthenticationInfo方法。在doGetAuthenticationInfo方法中，我们使用userService来查找用户，并返回一个SimpleAuthenticationInfo对象，其中包含用户名和密码。

1. 配置Shiro Filter

在Spring Boot中，我们可以使用Shiro Filter来保护应用程序的URL。以下是一个示例：

@Configuration
public class ShiroConfig {
    @Bean
    public ShiroFilterFactoryBean shiroFilterFactoryBean(DefaultWebSecurityManager securityManager) {
        ShiroFilterFactoryBean factoryBean = new ShiroFilterFactoryBean();
        factoryBean.setSecurityManager(securityManager);
        factoryBean.setLoginUrl("/login");
        factoryBean.setSuccessUrl("/index");
        factoryBean.setUnauthorizedUrl("/unauthorized");
        Map<String, String> filterChainDefinitionMap = new LinkedHashMap<>();
        filterChainDefinitionMap.put("/login", "anon");
        filterChainDefinitionMap.put("/logout", "logout");
        filterChainDefinitionMap.put("/**", "authc");
        factoryBean.setFilterChainDefinitionMap(filterChainDefinitionMap);
        return factoryBean;
    }

    @Bean
    public DefaultWebSecurityManager securityManager(MyRealm realm) {
        DefaultWebSecurityManager securityManager = new DefaultWebSecurityManager();
        securityManager.setRealm(realm);
        return securityManager;
    }
}

在上面的示例中，我们创建了一个名为ShiroConfig的配置类，并定义了一个ShiroFilterFactoryBean和一个DefaultWebSecurityManager。我们使用setLoginUrl、setSuccessUrl和setUnauthorizedUrl方法来设置登录URL、登录成功后的URL和未授权访问的URL。我们使用setFilterChainDefinitionMap方法来定义URL过滤器链。

1. 示例一：使用Shiro保护Controller层

以下是一个使用Shiro保护Controller层的示例：

@RestController
public class MyController {
    @RequiresRoles("admin")
    @GetMapping("/users")
    public List<User> getUsers() {
        return userService.findAll();
    }
}

在上面的示例中，我们在控制器方法上使用@RequiresRoles注解来指定需要admin角色才能访问该方法。

1. 示例二：使用Shiro保护Service层

以下是一个使用Shiro保护Service层的示例：

@Service
public class MyService {
    @RequiresPermissions("user:create")
    public void createUser(User user) {
        // create user
    }
}

在上面的示例中，我们在服务方法上使用@RequiresPermissions注解来指定需要user:create权限才能执行该方法。

以上是Spring Boot集成Shiro的完整攻略，其中包括添加Shiro依赖、配置Shiro、配置Shiro Realm、配置Shiro Filter和使用Shiro保护Controller层和Service层的示例。