Shiro【核心功能、核心组件、项目搭建 、配置文件认证、数据库认证 】(一)-全面详解（学习总结---从入门到深化）

2023-07-12 18:00:00

 

目录

         Shiro介绍_Shiro核心功能

Shiro介绍_Shiro核心组件 

Shiro入门_项目搭建 

Shiro入门_配置文件认证 

Shiro入门_数据库认证 

Shiro认证_将Shiro对象交给容器管理 

Shiro介绍_Shiro简介

 Shiro是apache旗下的一个开源安全框架，它可以帮助我们完成身 份认证，授权、加密、会话管理等功能。它有如下特点：

1、易于理解的API 简单的身份认证，支持多种数据源

2、简单的授权和鉴权

3、简单的加密API

4、支持缓存，以提升应用程序的性能

5、内置会话管理，适用于Web以及非Web的环境

6、不跟任何的框架或者容器捆绑，可以独立运行

认证 

认证即系统判断用户的身份是否合法，合法可继续访问，不合法则 拒绝访问。常见的用户身份认证方式有：用户名密码登录、二维码 登录、手机短信登录、脸部识别认证、指纹认证等方式。 认证是为了保护系统的隐私数据与资源，用户的身份合法才能访问该系统的资源。

授权

授权即认证通过后，根据用户的权限来控制用户访问资源的过程， 拥有资源的访问权限则正常访问，没有权限则拒绝访问。 比如在一 些视频网站中，普通用户登录后只有观看免费视频的权限，而VIP用户登录后，网站会给该用户提供观看VIP视频的权限。 认证是为了保证用户身份的合法性，授权则是为了更细粒度的对隐 私数据进行划分，控制不同的用户能够访问不同的资源。 举个例子：认证是公司大门识别你作为员工能进入公司，而授权则是由于你作为公司会计可以进入财务室，查看账目，处理财务数据。

 Shiro介绍_Shiro核心功能

Authentication：身份认证/登录。

Authorization：权限验证，即判断用户是否能在系统中做某件 事情。

Session Management：会话管理，用户登录后就是一次会 话，在没有退出之前，它的所有信息都在会话中，会话可以是 JavaSE环境的，也可以是Web环境的。

Cryptography：加密，保护数据的安全性。即密码加密存储到 数据库，而不是明文存储。 Web Support：Web 支持，可以非常容易的集成到Web环境。 

Caching：缓存。在用户登录后，用户信息、拥有的权限不必每 次去查，这样可以提高效率。

Concurrency：Shiro支持多线程应用的并发验证，即如在一个 线程中开启另一个线程，能把权限自动传播过去。

Testing：提供测试支持。

Run As：允许一个用户假装为另一个用户的身份进行访问。

Remember Me：记住我，即一次登录后，下次再来就不用登 录了。

Shiro介绍_Shiro核心组件 

 1、Subject

主体。 Subject 在Shiro中是一个接口，接口中定义了认证授权的相关 方法。程序通过调用 Subject 的方法进行认证授权，而 Subject 使用 SecurityManager 进行认证授权。

2、SecurityManager

权限管理器，它是Shiro的核心。通过 SecurityManager 可以完成具体的 认证、授权等操作， SecurityManager 是通过 Authenticator 进行认证，通过 Authorizer 进行授权，通过 SessionManager 进行会话管理。 SecurityManager 是 一个接口，继承了 Authenticator , Authorizer , SessionManager 三个接口。

2、Authenticator

认证器。对用户登录时进行身份认证

3、Authorizer

授权器。用户认证通过后，在访问功能时需要通过授权器判断用户 是否有此功能的操作权限。

4、SessionManager

会话管理。shiro框架定义了一套会话管理，它不依赖web容器的 session，所以shiro可以使用在非web应用上。

5、Realm

领域。他是连接数据源+认证功能+授权功能的具体实现。 SecurityManager 通过 Realm 获取用户的身份和权限信息，并对用户进行认证和授权。

6、SessionDAO

会话dao，是对会话进行操作的一套接口。它可以将session数据存 储到数据库或缓存服务器中。

7、CacheManager

缓存管理，将用户权限数据存储在缓存中，这样可以减少权限查询 次数，提高性能。

8、Cryptography

密码管理，Shiro提供了一套加密/解密的组件，方便开发。

Shiro入门_项目搭建 

1、准备名为myshiro的mysql数据库

2、创建SpringBoot项目，加入相关依赖

<dependencies>
    <!-- SpringMVC -->
    <dependency>
        <groupId>org.springframework.boot</groupId>
        <artifactId>spring-boot-starter-web</artifactId>
    </dependency>
    <!-- Thymeleaf -->
    <dependency>
        <groupId>org.springframework.boot</groupId>
        <artifactId>spring-boot-starter-thymeleaf</artifactId>
    </dependency>
    <!-- Mysql驱动 -->
    <dependency>
        <groupId>mysql</groupId>
        <artifactId>mysql-connector-java</artifactId>
        <scope>runtime</scope>
    </dependency>
    <!-- MyBatisPlus -->
    <dependency>
        <groupId>com.baomidou</groupId>
        <artifactId>mybatis-plus-boot-starter</artifactId>
        <version>3.5.0</version>
    </dependency>
    <!-- shiro和spring整合包 -->
    <dependency>
       <groupId>org.apache.shiro</groupId>
       <artifactId>shiro-spring</artifactId>
       <version>1.9.0</version>
    </dependency>
    <!-- lombok -->
    <dependency>
        <groupId>org.projectlombok</groupId>
        <artifactId>lombok</artifactId>
        <optional>true</optional>
    </dependency>
    <!-- Junit -->
    <dependency>
        <groupId>org.springframework.boot</groupId>
        <artifactId>spring-boot-starter-test</artifactId>
        <scope>test</scope>
    </dependency>
    <!-- Spring-jdbc -->
    <dependency>
        <groupId>org.springframework.boot</groupId>
        <artifactId>spring-boot-starter-jdbc</artifactId>
    </dependency>
</dependencies>

3、编写配置文件 application.yml

server:
  port: 80
#日志格式
logging:
  pattern:
    console: '%d{HH:mm:ss.SSS} %clr(%-5level) --- [%-15thread]
%cyan(%-50logger{50}):%msg%n'
# 数据源
spring:
 datasource:
   driver-class-name: com.mysql.cj.jdbc.Driver
   url: jdbc:mysql:///myshiro?serverTimezone=UTC
   username: root
   password01: root

4、将前端资源复制到项目中

5、编写页面跳转控制器

@Controller
public class PageController {
    @RequestMapping("/{page}")
    public String showPage(@PathVariable String page) {
        return page;
   }
    // 忽略favicon.ico的获取
    @GetMapping("favicon.ico")
    @ResponseBody
    public void noFavicon() {}
}

6、启动项目，访问登录页http://localhost/login

Shiro入门_配置文件认证 

Shrio支持多种数据源，我们首先将用户名密码写入配置文件，让 Shiro读取配置文件进行认证。 

 1、在 resources 目录下编写配置文件 shiro.ini

#声明用户账号
[users]
baizhan=123

2、编写登录控制器方法

@Controller
public class LoginController {
    @RequestMapping("/user/login")
    public String login(String username,String password){
        // 1.获取SecurityManager工厂，读取配置文件
        IniSecurityManagerFactory factory = new IniSecurityManagerFactory("classpath:shiro.ini");
        // 2.获取SecurityManager对象
        SecurityManager securityManager = factory.getInstance();
        // 3.将SecurityManager对象设置到运行环境中
      SecurityUtils.setSecurityManager(securityManager);
        // 4.获取Subject对象
        Subject subject = SecurityUtils.getSubject();
        // 5.将前端传来的用户名密码封装为Shiro提供的身份对象
        UsernamePasswordToken token = new UsernamePasswordToken(username, password);
        try {
        // 6.shiro认证
            subject.login(token);
            // 7.认证通过跳转到主页面
            return "main";
       }catch (AuthenticationException e)
       {
            // 8.认证不通过跳转到失败页面
            return "fail";
       }
   }
}

3、启动项目，访问登录页http://localhost/login，测试登录功能。

Shiro入门_数据库认证 

 之前我们使用配置文件做数据源，在真实开发中，我们往往会使用 数据库作为数据源进行认证操作。 Realm 负责连接数据源并进行具体 认证，它有一个子类 JdbcRealm ，该类可以自动连接数据库认证。

 1、创建数据表

CREATE TABLE `users`  (
  `username` varchar(255) CHARACTER SET utf8 COLLATE utf8_general_ci NULL DEFAULT
NULL,
  `password` varchar(255) CHARACTER SET utf8 COLLATE utf8_general_ci NULL DEFAULT
NULL
) ENGINE = InnoDB CHARACTER SET = utf8
COLLATE = utf8_general_ci ROW_FORMAT = Dynamic;
INSERT INTO `users` VALUES ('bizhn', 'bizhn');

2、编写登录控制器方法

@RequestMapping("/user/login2")
public String login2(String username,String password){
    // 1.获取SecurityManager对象
    DefaultWebSecurityManager securityManager = new DefaultWebSecurityManager();
    // 2.为SecurityManager对象设置Realm
    JdbcRealm jdbcRealm = new JdbcRealm();
    jdbcRealm.setDataSource(dataSource);
    securityManager.setRealm(jdbcRealm);
    // 3.将SecurityManager对象设置到运行环境中
    SecurityUtils.setSecurityManager(securityManager);
    // 4.获取Subject对象
    Subject subject = SecurityUtils.getSubject();
    // 5.将前端传来的用户名密码封装为Shiro提供的身份对象
    UsernamePasswordToken token = new UsernamePasswordToken(username, password);
    try {
        // 6.shiro认证
        subject.login(token);
        // 7.认证通过跳转到主页面
        return "main";
   }catch (AuthenticationException e){
        // 8.认证不通过跳转到失败页面
        return "fail";
   }
}

3、启动项目，访问登录页http://localhost/login，测试登录功能。

Shiro认证_将Shiro对象交给容器管理 

 之前的案例中，所有关于Shiro的对象都是自己创建的。我们在 SpringBoot中使用Shiro，就可以将Shiro的对象交给容器管理，简 化业务代码。

1、创建Shiro配置类

@Configuration
public class ShiroConfig {
    // SecurityManager对象
    @Bean
    public DefaultWebSecurityManager getDefaultWebSecurityManager(JdbcRealm jdbcRealm){
        DefaultWebSecurityManager defaultSecurityManager=new DefaultWebSecurityManager();
        defaultSecurityManager.setRealm(jdbcRealm);
        return defaultSecurityManager;
   }
    // JdbcRealm
    @Bean
    public JdbcRealm getJdbcRealm(DataSource dataSource) {
        JdbcRealm jdbcRealm = new JdbcRealm();
        jdbcRealm.setDataSource(dataSource);
        return jdbcRealm;
   }
}

2、创建 UserService.java

@Service
public class UsersService {
@Autowired
    private DefaultWebSecurityManager securityManager;
    public void userLogin(String username,String password) throws AuthenticationException {
        // 1.将SecurityManager对象设置到运行环境中
      SecurityUtils.setSecurityManager(securityManager);
        // 2.获取Subject对象
        Subject subject = SecurityUtils.getSubject();
        // 3.将前端传来的用户名密码封装为Shiro提供的身份对象
        UsernamePasswordToken token = new UsernamePasswordToken(username, password);
        // 4.Shiro认证
        subject.login(token);
   }
}

3、编写登录控制器方法

@RequestMapping("/user/login2")
public String login2(String
username,String password){
    try {
       usersService.userLogin(username,password);
        return "main";
   }catch (AuthenticationException e){
        return "fail";
   }
}

4、启动项目，访问登录页http://localhost/login，测试登录功能。

更多推荐

Redis面试题(五)

文章目录前言一、使用过Redis做异步队列么，你是怎么用的？有什么缺点？二、什么是缓存穿透？如何避免？什么是缓存雪崩？何如避免？总结前言使用过Redis做异步队列么，你是怎么用的？有什么缺点？什么是缓存穿透？如何避免？什么是缓存雪崩？何如避免？`一、使用过Redis做异步队列么，你是怎么用的？有什么缺点？一般使用lis

Windows开机密码破解

目前可行的方法（目前只能通过进PE的方式进行密码的修改）通过本文最后“本文参考网页”下载Rufus写盘工具和Hiren’sBootCDPE镜像启动写盘工具，选择U盘和镜像U盘插入电脑时确保电脑为关机状态启动电脑，快速敲击Delete键，进入Bios界面（不同的电脑是通过不同的按键进入BIOS，可以利用搜索引擎查看你的电

腾讯会议核心存储治理：Redis分库和异地多活

👉导读会控为整个会议最为核心的业务，由于海量请求的高性能要求，后台存储全部为Redis。在业务飞速发展期，各模块边界不够清晰，大家对存储的使用处于失控状态，随着PCU的不断上涨，逐步暴露出存储和架构的诸多问题，同时也对系统容灾能力有了更高的要求。会控业务历史包袱重，存储改造伤筋动骨，要做到平滑迁移需要考虑的细节较多。

常用注解梳理

@RestController注解：将一个类标识为一个RESTful风格的控制器，用于处理HTTP请求和响应。@RequestMapping注解：用于将一个HTTP请求映射到控制器的处理方法上，可以用于类级别和方法级别。@PostMapping注解：用于将HTTPPOST请求映射到控制器的处理方法上。@GetMappi

浅谈xss

XSS简介XSS，全称CrossSiteScripting，即跨站脚本攻击，是最普遍的Web应用安全漏洞。这类漏洞能够使得攻击者嵌入恶意脚本代码到正常用户会访问到的页面中，当正常用户访问该页面时，则可导致嵌入的恶意脚本代码的执行，从而达到恶意攻击用户的目的。需要强调的是，XSS不仅仅限于JavaScript，还包括fl

vue模板语法（下集）

事件处理器Vue模板语法中的事件处理器是指在Vue组件中绑定DOM事件，当事件发生时执行相应的方法或表达式。常见的事件包括点击事件@click、输入事件@input、鼠标移入事件@mouseover等等。事件监听可以使用v-on指令2.1事件修饰符.Vue通过由点(.)表示的指令后缀来调用修饰符，.stop.preve

华为OD机试 - 矩形相交的面积 - 逻辑分析（Java 2023 B卷 100分）

目录专栏导读一、题目描述二、输入描述三、输出描述1、输入：2、输出：3、说明四、解题思路五、Java算法源码六、效果展示1、输入2、输出3、说明华为OD机试2023B卷题库疯狂收录中，刷题点这里专栏导读本专栏收录于《华为OD机试（JAVA）真题（A卷+B卷）》。刷的越多，抽中的概率越大，每一题都有详细的答题思路、详细的

高并发压力测试，你真的会做吗？

一、Introduction对于小微企业网站在自主推出某些活动时，可能导致网站产生高并发访问的情况。针对这种情况采用临时租用云服务器是有性价比的应对措施，比如，使用弹性云。这种租用服务有的按照访问流量计费。为了计算出大概的预算，需要根据推算的访问量做并发压力测试。二、压力测试方法一般，使用apache自带的ab.exe

【Java】泛型

简单泛型促成泛型出现的最主要的动机之一是为了创建集合类，我们先看一个只能持有单个对象的类。这个类可以明确指定其持有的对象的类型：//generics/Holder1.javaclassAutomobile{}publicclassHolder1{privateAutomobilea;publicHolder1(Auto

解决文件只能在windows系统上传成功，而linux系统上传失败。

场景：在我们项目准备上线进行SIT测试的时候，测试在文件上传的时候，一直上传不成功，表示当前文件不支持上传，然后我们让测试将他的文件发送给我们进行测试，我们是能够上传成功的，然后询问他们使用的什么系统，发现他们使用的是Linux发行版操作系统Ubuntu。分析原因：可能是由于Linux和Windows操作系统在处理文件

ES6之Map和Set有什么不同？

一、Map1.定义Map是ES6提供的一种新的数据结构，它是键值对的集合，类似于对象，但是键的范围不限于字符串，各种类型的值都可以当做键。Object结构是“字符串-值”的对应，Map结构则是“值-值”的对应2.代码示例Map本身是一个构造函数，先来生成一个Map数据结构，从打印的结果就可以看出，Map实例有以下属性和

热文推荐
  1. 解锁前端Vue3宝藏级资料 第五章 Vue 组件应用 5 (Vue 插件)

    想了解Vue插件所以你看了官方文档却看不懂，或者你想知道Vue.use()方法和插件的关系。在本文档中，我们将参照文档讲解插件制作的基础知识，了解基础知识后，我们将制作与更实用的下拉菜单和脚本加载相关的插件。读完之后，您应该知道如何创建自己的插件以及如何添加插件。第一章Vue3项目创建1VueCLI创建vue项目第一章

  2. Centos安装postgresql

    一.执行安装命令与查看是否成功：1.yuminstall-ypostgresql-serverpostgresql-contrib2.安装后执行$psql--version或$psql-V可显示psql(PostgreSQL)9.2.243.另外，安装的同时还会创建postgres用户，Home为/var/lib/pg

  3. 构建无限画布，协作数字绘图 | 开源日报 0915

    tldraw/tldrawStars:16.4kLicense:Apache-2.0tldraw是一个协作数字白板项目，可在tldraw.com上使用。它的编辑器、用户界面和其他底层库都是开源的，并且可以通过npm进行分发。您可以使用tldraw为产品创建一个即插即用的白板，或者将其作为构建自己无限画布应用程序的基础。

  4. 小程序开发一个多少钱啊

    在今天的数字化时代，小程序已经成为一种非常流行的应用程序形式。由于它们的便捷性、易用性和多功能性，小程序吸引了越来越多的用户和企业。但是，很多人在考虑开发一个小程序时，都会遇到同一个问题：开发一个小程序需要多少钱？小程序的开发费用因人而异，取决于多种因素。下面，我们将为您详细列出影响小程序开发费用的主要因素。1、功能需

  5. Bean的生命周期

    SpringBean的生命周期是从Bean实例化之后，即通过反射创建出对象之后，到Bean成为一个完整对象，最终存储到单例池中，这个过程被称为SpringBean的生命周期。小枫叶一，实例化1.1Bean工厂后处理器–BeanFactoryPostProcessorBeanFactoryPostProcessor是一个

  6. 怎样判断一个数是否为偶数

    要求代码行数尽可能少;packagemainimport("fmt""strconv")funcmain(){fmt.Printf("传入的值是否为奇数:%t\n",Judge_is_even(7))}funcJudge_is_even(numint)bool{//fmt.Println(num%2)rs,_:=str

  7. modbus的协议

    在介绍Modbus协议之前，我们要先了解下RS485协议，因为Modbus协议是在RS485这个硬件层协议上搭建的软件层协议。RS485特性半双工。用缆线两端的电压差值来表示传递信号。RS485的特点包括1.S485的电气特性：逻辑“1”以两线间的电压差为+(2~6)V表示；逻辑“0”以两线间的电压差为-(2~6)V表

  8. ChatGPT Prompting开发实战（八）

    一．什么是归纳总结式的prompt开发有时候需要对一段文本进行归纳总结，那么可以采取以下的方案：-按照给定单词、句子或者字符的数量限制来让模型裁剪文本，使内容更精炼-基于聚焦的主题进行总结-只根据需求抽取相关的文本信息，不需要整段文本内容除了上面列出的几种方式之外，还可能有额外的一些需求，譬如给出多段文本，要求模型同时

  9. JUnit测试进阶（Private测试）

    Private测试前言一、间接调用二、Java反射机制调用前言在单元测试中，由于私有方法（PrivateMethod）无法直接被调用，因此对私有方法进行测试成为一项难题。一个可行的方法是：在测试时将私有方法改变为公有方法（PublicMethod），在测试完成后再将其修改为私有方法。然而，该方法操作过程比较复杂，不利于