新时代平台,rm体育平台

記得做的第一個(gè)Web項(xiàng)目，系統(tǒng)認(rèn)證授權(quán)這塊就是基于Shiro實(shí)現(xiàn)的，當(dāng)時(shí)也是第一次接觸到這種類型的框架，同時(shí)是基于Spring做的集成，并且相關(guān)的配置都已經(jīng)是定制好的，只需要我們根據(jù)項(xiàng)目情況對(duì)極少部分配置進(jìn)行修改即可使用。對(duì)于其原理也只是知道個(gè)大概，具體實(shí)現(xiàn)細(xì)節(jié)可以說是一無所知。

Shiro作為安全框架，相比其他同類型框架，在整體結(jié)構(gòu)上更顯得簡(jiǎn)單且更易于理解，通過對(duì)Shrio的學(xué)習(xí)，在理解里其實(shí)現(xiàn)原理后，對(duì)后面學(xué)習(xí)其他同類型的框架也會(huì)有很多幫助。

現(xiàn)在各種框架盛行，為解決企業(yè)問題提供了各種優(yōu)秀的解決方案，使開發(fā)者可以快速、簡(jiǎn)單、高效地搭建開發(fā)環(huán)境，用起來確實(shí)很方便，但是卻產(chǎn)生了強(qiáng)烈的依賴性，現(xiàn)在有多少人脫離了框架還能開發(fā)出想要的功能？當(dāng)然，框架我們還是要用的，但是隨著學(xué)習(xí)的不斷加深，在出現(xiàn)故障時(shí)我們及時(shí)定位問題，在當(dāng)前業(yè)務(wù)需求不滿足時(shí)，我們需要快速找到解決方法。

功能介紹

以下是官網(wǎng)的一段話，直接介紹了Shiro能為我們做什么

Apache Shiro是一個(gè)功能強(qiáng)大且易于使用的Java安全框架，可執(zhí)行身份驗(yàn)證、授權(quán)、加密和會(huì)話管理。

特色

主要功能：

Authentication：身份認(rèn)證，證明用戶是否具有訪問系統(tǒng)的身份。
Authorization：訪問控制，即確定“誰”可以訪問系統(tǒng)的“什么”資源。
Session Management：會(huì)話管理，支持Web 或 EJB 應(yīng)用程序的會(huì)話管理。
Cryptography：使用密碼算法保持?jǐn)?shù)據(jù)安全，主要是密碼。
其他功能：
- Web Support:：Shiro 的 Web 支持 API 有助于輕松保護(hù) Web 應(yīng)用程序。
- Caching：緩存，確保 Apache Shiro API能夠快速和高效地操作。
- Concurrency：Apache Shiro 支持多線程應(yīng)用程序的并發(fā)特性。
- Testing：存在測(cè)試支持以幫助您編寫單元和集成測(cè)試，并確保您的代碼按預(yù)期執(zhí)行。
- Run As：允許用戶假設(shè)為另一個(gè)用戶的身份的獲取其功能權(quán)限，在管理場(chǎng)景中很有用。
- Remember Me：跨會(huì)話記住用戶的身份，在登錄時(shí)指明，省去下次登錄的過程。

實(shí)現(xiàn)架構(gòu)

架構(gòu)

Subject( org.apache.shiro.subject.Subject) 當(dāng)前與軟件交互的實(shí)體（用戶、第三方服務(wù)、cron任務(wù)等）的特定的安全性的“視圖”。
SecurityManager ( org.apache.shiro.mgt.SecurityManager ) SecurityManager是Shiro架構(gòu)的核心。它主要是一個(gè)綜合的大對(duì)象，用于協(xié)調(diào)其托管組件以確保它們順利協(xié)同工作。它還管理Shiro對(duì)每個(gè)應(yīng)用程序用戶的視圖，因此它知道如何為每個(gè)用戶執(zhí)行安全操作。
Authenticator ( org.apache.shiro.authc.Authenticator ) 該Authenticator組件負(fù)責(zé)執(zhí)行和響應(yīng)用戶的身份驗(yàn)證過程。當(dāng)用戶嘗試登錄時(shí)，該邏輯由Authenticator實(shí)現(xiàn)并執(zhí)行。Authenticator通過用戶配置的多個(gè)Realms，按照一定的策略，驗(yàn)證提供的用戶是否滿足用戶身份。
- AuthenticationStrategy ( org.apache.shiro.authc.pam.AuthenticationStrategy ) 當(dāng)配置了多個(gè)Realm時(shí)，AuthenticationStrategy將協(xié)調(diào)調(diào)用Realm來確定用戶身份驗(yàn)證最終成功或失?。ū热缬幸粋€(gè)驗(yàn)證成功或每個(gè)都要驗(yàn)證成功）。
Authorizer ( org.apache.shiro.authz.Authorizer ) 是一個(gè)應(yīng)用訪問控制的組件。它是決定用戶是否被允許執(zhí)行某項(xiàng)操作。與Authenticator一樣，Authorizer能夠協(xié)調(diào)執(zhí)行多個(gè)Realm來獲取用戶的訪問角色和權(quán)限信息。
SessionManager ( org.apache.shiro.session.mgt.SessionManager ) 負(fù)責(zé)創(chuàng)建和管理用戶Session的生命周期。即使沒有可用的Web容器，Shiro能夠在任何環(huán)境中本地管理用戶會(huì)話。默認(rèn)情況下是基于Web容器實(shí)現(xiàn)會(huì)話機(jī)制，非Web環(huán)境則可以通過內(nèi)置的會(huì)話管理來提供相同的功能。可以通過SessionDAO實(shí)現(xiàn)會(huì)話的持久化。
- SessionDAO ( org.apache.shiro.session.mgt.eis.SessionDAO ) 實(shí)現(xiàn)Session的持久化。
CacheManager ( org.apache.shiro.cache.CacheManager ) 因?yàn)镾hiro經(jīng)常訪問后端數(shù)據(jù)源進(jìn)行身份驗(yàn)證、授權(quán)和會(huì)話管理，通過緩存可以提高性能。
Cryptography( org.apache.shiro.crypto.* ) 密碼學(xué)是企業(yè)安全框架的擴(kuò)展。Shiro的crypto包含易于使用和理解的密碼、哈希（又名摘要）和不同編解碼器實(shí)現(xiàn)的實(shí)現(xiàn)。Shiro的加密API簡(jiǎn)化了復(fù)雜的Java機(jī)制，使密碼加密更容易。
Realm ( org.apache.shiro.realm.Realm ) Realm是Shiro和應(yīng)用程序安全數(shù)據(jù)之間的“橋梁”。當(dāng)用戶需要對(duì)身份進(jìn)行認(rèn)證或授權(quán)時(shí)，Shiro會(huì)通過程序中配置的一個(gè)或多個(gè)Realm來查找滿足的數(shù)據(jù)。Shiro將根據(jù)需要與它們協(xié)調(diào)以進(jìn)行身份驗(yàn)證和授權(quán)。

關(guān)鍵模塊

EnvironmentLoaderListener

該類實(shí)現(xiàn)了ServletContextListener，因此我們?cè)趙eb.xml中配置后即可啟用，主要目的是為了構(gòu)建Enviroment對(duì)象并保存到ServleteContext中。

public class EnvironmentLoaderListener extends EnvironmentLoader implements ServletContextListener {

    public void contextInitialized(ServletContextEvent sce) {
        initEnvironment(sce.getServletContext());
    }

    public void contextDestroyed(ServletContextEvent sce) {
        destroyEnvironment(sce.getServletContext());
    }
}

Environment

Environment是一個(gè)Shiro容器，主要目的是提供SecurityManager對(duì)象。

public interface Environment {

    SecurityManager getSecurityManager();
}

SecurityManager

SecurityManager是Shiro框架中最核心的類，用戶的認(rèn)證、鑒權(quán)都是基于它來完成的，包含認(rèn)證、會(huì)話管理、RememberMe等功能，這也是開發(fā)者需要理解并配置較多的類。

public interface SecurityManager extends Authenticator, Authorizer, SessionManager {

    Subject login(Subject subject, AuthenticationToken authenticationToken) throws AuthenticationException;

    void logout(Subject subject);

    Subject createSubject(SubjectContext context);

}

Authenticator

實(shí)現(xiàn)了用戶的身份認(rèn)證邏輯，也就是密碼校驗(yàn)，注意我們是通過對(duì)AuthenticationToken進(jìn)行認(rèn)證，在該Token中封裝了用戶提交的信息，

開發(fā)者只需要根據(jù)這些信息構(gòu)建AuthenticationInfo對(duì)象，密碼的校驗(yàn)過程是有Shiro代理完成的。

public interface Authenticator {

    public AuthenticationInfo authenticate(AuthenticationToken authenticationToken)
            throws AuthenticationException;
}

Authorizer

實(shí)現(xiàn)了用戶權(quán)限的鑒權(quán)，包括權(quán)限和角色，鑒權(quán)過程在整個(gè)系統(tǒng)的生命周期中是比較頻繁的，我們應(yīng)該配置CacheManager來提高系統(tǒng)效率，避免頻繁的進(jìn)行DAO操作。

public interface Authorizer {

    boolean isPermitted(PrincipalCollection principals, String permission);

    boolean isPermittedAll(PrincipalCollection subjectPrincipal, String... permissions);

    void checkPermission(PrincipalCollection subjectPrincipal, String permission) throws AuthorizationException;

    boolean hasRole(PrincipalCollection subjectPrincipal, String roleIdentifier);

    boolean hasAllRoles(PrincipalCollection subjectPrincipal, Collection< String > roleIdentifiers);

    void checkRole(PrincipalCollection subjectPrincipal, String roleIdentifier) throws AuthorizationException;
 
 // ...
    
}

SessionManager

會(huì)話管理主要是為了實(shí)現(xiàn)認(rèn)證保持，即一次認(rèn)證成功后基于Cookie/Session機(jī)制，使下次會(huì)話不需要重復(fù)認(rèn)證。在集群環(huán)境中，如果通過容器來管理會(huì)話那樣就沒辦法實(shí)現(xiàn)會(huì)話共享，我們可以通過一些分布式會(huì)話管理框架來實(shí)現(xiàn)。

public interface SessionManager {

    Session start(SessionContext context);

    Session getSession(SessionKey key) throws SessionException;
}

SubjectDAO實(shí)現(xiàn)Subject對(duì)象的保存，比如將Subject保存的Session或者到數(shù)據(jù)庫。一般情況下，我們通過 SecurityUtils.getSubject()獲取Subject對(duì)象，這里沒有提供get方法。

public interface SubjectDAO {

    Subject save(Subject subject);

    void delete(Subject subject);
}

RememberMeManager

記住我，實(shí)現(xiàn)用戶在會(huì)話超時(shí)后，不需要重新登錄即可進(jìn)入系統(tǒng)，默認(rèn)是基于Cookie實(shí)現(xiàn)，主要將用戶信息寫入到Cookie中，并設(shè)置一個(gè)有效期，比如14天。

public interface RememberMeManager {

    PrincipalCollection getRememberedPrincipals(SubjectContext subjectContext);

    void forgetIdentity(SubjectContext subjectContext);

    void onSuccessfulLogin(Subject subject, AuthenticationToken token, AuthenticationInfo info);

    void onFailedLogin(Subject subject, AuthenticationToken token, AuthenticationException ae);

    void onLogout(Subject subject);
}

CacheManager

緩存，上面說到在鑒權(quán)時(shí)通過緩存提高API效率，還可以緩存Session實(shí)現(xiàn)Session快速存取。

public interface CacheManager {
    < K, V > Cache< K, V > getCache(String var1) throws CacheException;
}

Realm

Realm是開發(fā)者經(jīng)常需要重寫的，也是Shiro的擴(kuò)展點(diǎn)，我們可以根據(jù)需要配置多個(gè)Realm，這樣可以實(shí)現(xiàn)多因子認(rèn)證，比如用戶名、郵箱、指紋等。一般可以通過繼承AuthenticatingRealm重寫抽象方法實(shí)現(xiàn)。

public interface Realm {

    String getName();

    boolean supports(AuthenticationToken token);

    AuthenticationInfo getAuthenticationInfo(AuthenticationToken token) throws AuthenticationException;

}

Subject

Subject也是Shiro中非常重要的對(duì)象，在系統(tǒng)中，我們的操作基本都是調(diào)用其內(nèi)部方法，最終由SecurityManager代理完成。比如常見的登錄、登出、是否有角色、是否有權(quán)限等。

public interface Subject {

 Object getPrincipal();
 
 PrincipalCollection getPrincipals();
 
 void login(AuthenticationToken token) throws AuthenticationException;

   // ...
}

AuthenticationToken

用戶提交的請(qǐng)求數(shù)據(jù)我們一般會(huì)進(jìn)行封裝，因?yàn)槌擞脩裘艽a，可能還會(huì)有一些其他信息，比如動(dòng)態(tài)碼、RememberMe標(biāo)識(shí)，或者基于令牌的認(rèn)證。

public interface AuthenticationToken extends Serializable {

    Object getPrincipal();

    Object getCredentials();

}

SubjectContext

Subject上下文，保存了Subject相關(guān)的數(shù)據(jù)，比如Subject、SecurityManager、Session等，在Subject間相互隔離。

public interface SubjectContext extends Map< String, Object > {

    Subject getSubject();

    PrincipalCollection getPrincipals();

    PrincipalCollection resolvePrincipals();

    Session getSession();

    Session resolveSession();

    boolean isAuthenticated();

    boolean isSessionCreationEnabled();

    boolean resolveAuthenticated();

    AuthenticationInfo getAuthenticationInfo();

    AuthenticationToken getAuthenticationToken();

}

ShiroFilter

Shiro過濾器鏈，前面一直提到基于Web的認(rèn)證基本都是通過Filter實(shí)現(xiàn)，在一個(gè)Web項(xiàng)目中會(huì)有很多個(gè)Filter，而且會(huì)按照配置順序執(zhí)行，隱藏Shiro的過濾器會(huì)定義成鏈的模式，同時(shí)也是為了方便配置。開發(fā)者會(huì)根據(jù)業(yè)務(wù)需求配置過濾規(guī)則，最終都會(huì)由FilterChainResolver解析成過濾器鏈。

public class ShiroFilter extends AbstractShiroFilter {

    @Override
    public void init() throws Exception {
        WebEnvironment env = WebUtils.getRequiredWebEnvironment(getServletContext());

        setSecurityManager(env.getWebSecurityManager());

        FilterChainResolver resolver = env.getFilterChainResolver();
        if (resolver != null) {
            setFilterChainResolver(resolver);
        }
    }
}

Filter

在DefaultFilter中，我們可以看到這樣的定義，主要是為過濾器提供了別名方便開發(fā)者進(jìn)行配置。

anon(AnonymousFilter.class),
    authc(FormAuthenticationFilter.class),
    authcBasic(BasicHttpAuthenticationFilter.class),
    authcBearer(BearerHttpAuthenticationFilter.class),
    logout(LogoutFilter.class),
    noSessionCreation(NoSessionCreationFilter.class),
    perms(PermissionsAuthorizationFilter.class),
    port(PortFilter.class),
    rest(HttpMethodPermissionFilter.class),
    roles(RolesAuthorizationFilter.class),
    ssl(SslFilter.class),
    user(UserFilter.class),
    invalidRequest(InvalidRequestFilter.class);

一般配置如下：
/login.html = anon; //表示不需認(rèn)證也可訪問
/login.html = authc; //表示表單POST提交到/login.html請(qǐng)求時(shí)會(huì)根據(jù)提交的參數(shù)進(jìn)行身份認(rèn)證
/system = authcBasic; //根據(jù)請(qǐng)求頭Authorization:BASIC Base64(用戶名:密碼)的形式完成認(rèn)證
/system = authcBearer; //根據(jù)請(qǐng)求頭Authorization:Bearer Token的形式完成認(rèn)證
/logout = logout; //退出登錄
/authz = perms[update, :add, :delete: ]; //表示具有操作權(quán)限可訪問，支持' '通配符
/index.html = port[8080]; //表示8080請(qǐng)求端口才能訪問
//權(quán)限字符串由 type:action:instance 組成，在rest服務(wù)中，通過權(quán)限與請(qǐng)求方法構(gòu)建權(quán)限字符串[perm:mapping]，
請(qǐng)求方法與action對(duì)應(yīng)關(guān)系如下：
// GET|HEAD|OPTIONS|TRACE -> read
// PUT -> update
// POST|MKCOL -> create
/ = rest

認(rèn)證流程

第1步：應(yīng)用程序代碼調(diào)用該Subject.login方法，傳入代表最終用戶的主體和憑據(jù)的構(gòu)造AuthenticationToken實(shí)例。

第2步：Subject實(shí)例，通常是一個(gè)類通過調(diào)用DelegatingSubject委托給應(yīng)用程序，實(shí)際的身份驗(yàn)證工作從這里開始。SecurityManagersecurityManager.login(token)

第3步：SecurityManager作為基本的綜合組件，接收令牌并通過調(diào)用簡(jiǎn)單地委托給其內(nèi)部Authenticator實(shí)例authenticator.authenticate(token)。一般是ModularRealmAuthenticator實(shí)例，它支持在身份驗(yàn)證期間協(xié)調(diào)一個(gè)或多個(gè)Realm實(shí)例。ModularRealmAuthenticator本質(zhì)上為 Apache Shiro提供了PAM樣式的范例（其中每個(gè)Realm 都是 PAM 術(shù)語中的“模塊”）。

第4步：如果Realm為應(yīng)用程序配置了多個(gè)，ModularRealmAuthenticator實(shí)例將Realm使用其配置的啟動(dòng)多重身份驗(yàn)證嘗試策略AuthenticationStrategy。Realms在調(diào)用進(jìn)行身份驗(yàn)證之前、期間和之后，AuthenticationStrategy將根據(jù)每個(gè)Realm的執(zhí)行結(jié)果做出最終認(rèn)證的決定。

第5步：根據(jù)每一個(gè)配置Realm，判斷supports是否提交AuthenticationToken。如果匹配則以token為參數(shù)調(diào)用Realm的getAuthenticationInfo方法。該方法代表了Realm的一次身份驗(yàn)證嘗試。

結(jié)束語

關(guān)于shiro，很多都是介紹框架關(guān)鍵組件，比如SecurityManager，大部分功能都是圍繞該類展開，后面會(huì)通過實(shí)戰(zhàn)，一步一步了解以上提到的各個(gè)模塊在項(xiàng)目運(yùn)行期間如何實(shí)現(xiàn)最終的用戶身份認(rèn)證以及對(duì)應(yīng)的訪問權(quán)限控制，以及細(xì)化到其具體的實(shí)現(xiàn)流程與模塊間的時(shí)序調(diào)用關(guān)系。

聲明：本文內(nèi)容及配圖由入駐作者撰寫或者入駐合作網(wǎng)站授權(quán)轉(zhuǎn)載。文章觀點(diǎn)僅代表作者本人，不代表電子發(fā)燒友網(wǎng)立場(chǎng)。文章及其配圖僅供工程師學(xué)習(xí)之用，如有內(nèi)容侵權(quán)或者其他違規(guī)問題，請(qǐng)聯(lián)系本站處理。舉報(bào)投訴