基于Spring框架的Shiro配置方法

简介

Apache Shiro是一个功能强大且易于使用的Java安全框架，提供了身份认证、授权、加密等安全功能。Spring框架与Shiro框架完美结合可以非常方便地实现网站的安全控制。本文将介绍使用Spring框架来配置Shiro框架的方法。

环境准备

在进行配置之前，我们需要先在项目中添加Shiro和Spring框架的依赖。在pom.xml中添加以下代码：

<!-- Shiro依赖 -->
<dependency>
    <groupId>org.apache.shiro</groupId>
    <artifactId>shiro-core</artifactId>
    <version>1.7.1</version>
</dependency>
<dependency>
    <groupId>org.apache.shiro</groupId>
    <artifactId>shiro-spring</artifactId>
    <version>1.7.1</version>
</dependency>

<!-- Spring依赖 -->
<dependency>
    <groupId>org.springframework</groupId>
    <artifactId>spring-context</artifactId>
    <version>5.3.8</version>
</dependency>
<dependency>
    <groupId>org.springframework</groupId>
    <artifactId>spring-context-support</artifactId>
    <version>5.3.8</version>
</dependency>

配置Shiro

1.配置Shiro的安全管理器（SecurityManager）和自定义Realm

安全管理器是Shiro框架的核心，我们需要在Spring配置文件中配置一个安全管理器。另外，为了实现自定义的认证和授权规则，我们需要编写一个自定义Realm。以下是配置文件的示例：

<!-- 配置安全管理器 -->
<bean id="securityManager" class="org.apache.shiro.web.mgt.DefaultWebSecurityManager">
    <!-- 注入自定义Realm -->
    <property name="realm" ref="myRealm" />
</bean>

<!-- 配置自定义Realm -->
<bean id="myRealm" class="com.example.MyRealm">
</bean>

2.配置Shiro的过滤器链（FilterChain）

过滤器链决定了访问哪个URL需要认证，哪些URL不需要认证等。在Spring配置文件中配置过滤器链如下：

<!-- 配置Shiro的过滤器链 -->
<bean id="shiroFilter" class="org.apache.shiro.spring.web.ShiroFilterFactoryBean">
    <!-- 必须设置安全管理器 -->
    <property name="securityManager" ref="securityManager" />

    <!-- 配置过滤器链 -->
    <property name="filterChainDefinitions">
        <value>
            /login = anon
            /static/** = anon
            /logout = logout
            /** = authc
        </value>
    </property>
</bean>

上述代码中，其中"/login"和"/static/"表示不需要认证的URL，"/logout"表示退出登录，""表示需要认证的URL。

编写自定义Realm

自定义Realm可以实现自定义的认证和授权规则。以下是一个示例：

public class MyRealm extends AuthorizingRealm {
    // 授权方法
    @Override
    protected AuthorizationInfo doGetAuthorizationInfo(PrincipalCollection principals) {
        // 获取当前用户
        User user = (User) principals.getPrimaryPrincipal();

        // 创建授权信息对象
        SimpleAuthorizationInfo authorizationInfo = new SimpleAuthorizationInfo();

        // 添加角色
        authorizationInfo.addRole(user.getRole().getName());

        // 添加权限
        List<String> permissions = new ArrayList<>();
        for (Permission permission : user.getRole().getPermissions()) {
            permissions.add(permission.getName());
        }
        authorizationInfo.addStringPermissions(permissions);

        return authorizationInfo;
    }

    // 认证方法
    @Override
    protected AuthenticationInfo doGetAuthenticationInfo(AuthenticationToken token) throws AuthenticationException {
        // 获取用户名和密码
        String username = (String) token.getPrincipal();
        String password = new String((char[]) token.getCredentials());

        // 查询数据库，判断用户是否存在
        User user = userDao.findByName(username);
        if (user == null) {
            throw new UnknownAccountException("账户不存在");
        }

        // 判断密码是否正确
        if (!password.equals(user.getPassword())) {
            throw new IncorrectCredentialsException("密码不正确");
        }

        // 返回认证信息对象
        return new SimpleAuthenticationInfo(user, password, getName());
    }
}

上述代码中，doGetAuthenticationInfo方法实现了认证功能，会根据用户名和密码查询数据库，判断用户是否存在，密码是否正确，并返回认证信息对象；doGetAuthorizationInfo方法实现了授权功能，会根据用户的角色和权限信息，构建授权信息对象，并返回。

示例

以下是一个使用Spring框架和Shiro框架实现的web应用示例，用于演示Shiro的认证和授权功能：

public class HomeController {
    @RequestMapping("/")
    public String home() {
        return "home";
    }

    @RequestMapping("/admin")
    public String admin() {
        return "admin";
    }

    @RequestMapping("/login")
    public String login() {
        return "login";
    }

    @RequestMapping("/login-error")
    public String loginError() {
        return "login-error";
    }
}

public class SecurityConfig {
    @Bean
    public SecurityManager securityManager(Realm realm) {
        DefaultWebSecurityManager securityManager = new DefaultWebSecurityManager();
        securityManager.setRealm(realm);
        return securityManager;
    }

    @Bean
    public ShiroFilterFactoryBean shiroFilter(SecurityManager securityManager) {
        ShiroFilterFactoryBean factoryBean = new ShiroFilterFactoryBean();
        factoryBean.setSecurityManager(securityManager);

        factoryBean.setLoginUrl("/login");
        factoryBean.setSuccessUrl("/");
        factoryBean.setUnauthorizedUrl("/login-error");

        Map<String, String> filterChainDefinitionMap = new LinkedHashMap<>();
        filterChainDefinitionMap.put("/logout", "logout");

        // admin角色权限
        filterChainDefinitionMap.put("/admin", "roles[admin]");
        // 其他请求需要通过认证
        filterChainDefinitionMap.put("/**", "authc");

        factoryBean.setFilterChainDefinitionMap(filterChainDefinitionMap);
        return factoryBean;
    }

    @Bean
    public Realm realm() {
        MyRealm realm = new MyRealm();
        realm.setCredentialsMatcher(hashedCredentialsMatcher());
        return realm;
    }

    @Bean
    public HashedCredentialsMatcher hashedCredentialsMatcher() {
        HashedCredentialsMatcher matcher = new HashedCredentialsMatcher();
        matcher.setHashAlgorithmName("MD5");
        matcher.setHashIterations(1);
        return matcher;
    }
}

public class MyRealm extends AuthorizingRealm {
    private UserService userService;

    public MyRealm(UserService userService) {
        this.userService = userService;
    }

    @Override
    protected AuthorizationInfo doGetAuthorizationInfo(PrincipalCollection principals) {
        User user = (User) principals.getPrimaryPrincipal();

        SimpleAuthorizationInfo authorizationInfo = new SimpleAuthorizationInfo();
        authorizationInfo.addRole(user.getRole().getName());

        List<String> permissions = new ArrayList<>();
        for (Permission permission : user.getRole().getPermissions()) {
            permissions.add(permission.getName());
        }
        authorizationInfo.addStringPermissions(permissions);

        return authorizationInfo;
    }

    @Override
    protected AuthenticationInfo doGetAuthenticationInfo(AuthenticationToken token) throws AuthenticationException {
        String username = (String) token.getPrincipal();
        String password = new String((char[]) token.getCredentials());

        User user = userService.findByUsername(username);
        if (user == null) {
            throw new UnknownAccountException("账户不存在");
        }

        if (!password.equals(user.getPassword())) {
            throw new IncorrectCredentialsException("密码不正确");
        }

        return new SimpleAuthenticationInfo(user, password, getName());
    }
}

上述代码中，HomeController中定义了四个方法，分别为首页、管理页面、登录页面和登录失败页面。SecurityConfig中配置了Shiro框架，包括安全管理器、过滤器链、自定义Realm和密码匹配器等。MyRealm是自定义的Realm，可以根据需求实现自定义的认证和授权规则。

总结

本文介绍了如何使用Spring框架和Shiro框架实现安全控制功能。我们可以轻松地配置Shiro的安全管理器、自定义Realm和过滤器链，以及编写自定义的认证和授权规则。通过本文的学习，读者可以掌握Shiro框架的相关知识，并在实际项目中应用。