springboot集成shiro详细总结

下面我来详细讲解“springboot集成shiro详细总结”的完整攻略，包含以下几个部分：

一、基本概念

1.1 shiro是什么

shiro是一个轻量级的Java安全框架，提供了身份认证、授权、加密等安全相关功能，可以方便地集成到各种Java项目中。

1.2 springboot是什么

springboot是Spring框架的一种简化版，旨在通过自动化配置和约定大于配置的方式，快速搭建Spring应用程序。

二、集成shiro

2.1 添加shiro依赖

在maven的pom.xml文件中，添加如下依赖：

<dependency>
  <groupId>org.apache.shiro</groupId>
  <artifactId>shiro-spring-boot-starter</artifactId>
  <version>x.x.x</version>
</dependency>

其中，版本号可以根据自己的需要进行选择。

2.2 shiro配置

在Spring Boot项目中，可以在application.yml或application.properties文件中进行Shiro的相关配置。具体可以参考如下示例：

shiro:
  enabled: true
  login-url: /login
  filter-chain-definition-map:
    /logout: logout
    /static/**: anon
    /login: anon
    /**: authc
  filter:
    url-pattern: /*

• enabled：是否启用Shiro。
• login-url：登录页的路径。
• filter-chain-definition-map：URL过滤器链。
• filter：过滤器配置。

2.3 shiro Realm

在Shiro中，Realm是一个用于获取安全数据的组件，可以自定义实现。Spring Boot集成Shiro后，我们可以通过继承AuthorizingRealm类进行实现。

例如，下面是一个自定义Realm的示例：

public class MyRealm extends AuthorizingRealm {
    @Autowired
    private UserService userService;

    @Override
    protected AuthorizationInfo doGetAuthorizationInfo(PrincipalCollection principals) {
        // 授权
    }

    @Override
    protected AuthenticationInfo doGetAuthenticationInfo(AuthenticationToken token) throws AuthenticationException {
        // 认证
    }
}

2.4 自定义过滤器

Shiro提供了多个过滤器，可以对不同的URL进行不同的拦截处理。如果有特殊的需求，可以自定义一个过滤器。

例如，下面是一个自定义过滤器的示例：

public class MyFilter extends AccessControlFilter {
    @Override
    protected boolean isAccessAllowed(ServletRequest request, ServletResponse response, Object mappedValue) throws Exception {
        // 判断是否有权限
    }

    @Override
    protected boolean onAccessDenied(ServletRequest request, ServletResponse response) throws Exception {
        // 没有权限的处理逻辑
    }
}

三、示例说明

3.1 基于注解的权限控制

假设我们有一个管理系统，其中有一个用户管理的模块。只有具备管理员角色的用户才能进入该模块。我们可以使用shiro提供的注解方式来进行权限控制。

首先，在Spring Boot项目中添加如下依赖：

<dependency>
  <groupId>org.apache.shiro</groupId>
  <artifactId>shiro-spring</artifactId>
  <version>x.x.x</version>
</dependency>

然后，我们可以在控制器的方法上添加@RequiresRoles注解，来控制只有具备某个角色的用户才能访问该方法。如下：

@Controller
@RequestMapping("/user")
public class UserController {

  @RequiresRoles("admin")
  @RequestMapping("/list")
  public String userList() {
    // 查询用户列表并返回页面
    return "user/list";
  }
}

可以看到，只有具备“admin”角色的用户才能访问/user/list接口。

3.2 基于自定义过滤器的权限控制

有时候，我们需要对某些URL进行特殊处理，比如对某个URL进行数字签名验证。此时，可以通过自定义过滤器来实现。

首先，我们创建一个自定义的数字签名过滤器SignatureFilter，并实现其isAccessAllowed方法来进行数字签名验证。如下：

public class SignatureFilter extends AccessControlFilter {

  @Override
  protected boolean isAccessAllowed(ServletRequest request, ServletResponse response, Object mappedValue) throws Exception {
    // 进行数字签名验证
  }

  @Override
  protected boolean onAccessDenied(ServletRequest request, ServletResponse response) throws Exception {
    // 验证失败的处理逻辑
  }
}

然后，在Spring Boot项目中的application.yml中添加如下配置：

shiro:
  enabled: true
  filter-chain-definition-map:
    /api/v1/hello: signatureFilter

这样，我们就为/api/v1/hello接口添加了数字签名验证的过滤器。