第三章 授权——《跟我学Shiro》

2024-02-25 19:08
文章标签 第三章 授权 shiro 跟我学

本文主要是介绍第三章 授权——《跟我学Shiro》，希望对大家解决编程问题提供一定的参考价值，需要的开发者们随着小编来一起学习吧！

目录贴： 跟我学Shiro目录贴

授权，也叫访问控制，即在应用中控制谁能访问哪些资源（如访问页面/编辑数据/页面操作等）。在授权中需了解的几个关键对象：主体（Subject）、资源（Resource）、权限（Permission）、角色（Role）。

主体

主体，即访问应用的用户，在Shiro中使用Subject代表该用户。用户只有授权后才允许访问相应的资源。

资源

在应用中用户可以访问的任何东西，比如访问JSP页面、查看/编辑某些数据、访问某个业务方法、打印文本等等都是资源。用户只要授权后才能访问。

权限

安全策略中的原子授权单位，通过权限我们可以表示在应用中用户有没有操作某个资源的权力。即权限表示在应用中用户能不能访问某个资源，如：

访问用户列表页面

查看/新增/修改/删除用户数据（即很多时候都是CRUD（增查改删）式权限控制）

打印文档等等。。。

如上可以看出，权限代表了用户有没有操作某个资源的权利，即反映在某个资源上的操作允不允许，不反映谁去执行这个操作。所以后续还需要把权限赋予给用户，即定义哪个用户允许在某个资源上做什么操作（权限），Shiro不会去做这件事情，而是由实现人员提供。

Shiro支持粗粒度权限（如用户模块的所有权限）和细粒度权限（操作某个用户的权限，即实例级别的），后续部分介绍。

角色

角色代表了操作集合，可以理解为权限的集合，一般情况下我们会赋予用户角色而不是权限，即这样用户可以拥有一组权限，赋予权限时比较方便。典型的如：项目经理、技术总监、CTO、开发工程师等都是角色，不同的角色拥有一组不同的权限。

隐式角色：即直接通过角色来验证用户有没有操作权限，如在应用中CTO、技术总监、开发工程师可以使用打印机，假设某天不允许开发工程师使用打印机，此时需要从应用中删除相应代码；再如在应用中CTO、技术总监可以查看用户、查看权限；突然有一天不允许技术总监查看用户、查看权限了，需要在相关代码中把技术总监角色从判断逻辑中删除掉；即粒度是以角色为单位进行访问控制的，粒度较粗；如果进行修改可能造成多处代码修改。

显示角色：在程序中通过权限控制谁能访问某个资源，角色聚合一组权限集合；这样假设哪个角色不能访问某个资源，只需要从角色代表的权限集合中移除即可；无须修改多处代码；即粒度是以资源/实例为单位的；粒度较细。

请google搜索“RBAC”和“RBAC新解”分别了解“基于角色的访问控制”“基于资源的访问控制(Resource-Based Access Control)”。

3.1 授权方式

Shiro支持三种方式的授权：

编程式：通过写if/else授权代码块完成：

Java代码 收藏代码
Subject subject = SecurityUtils.getSubject();
if(subject.hasRole(“admin”)) {
//有权限
} else {
//无权限
}

注解式：通过在执行的Java方法上放置相应的注解完成：

Java代码 收藏代码
@RequiresRoles(“admin”)
public void hello() {
//有权限
}
没有权限将抛出相应的异常；

JSP/GSP标签：在JSP/GSP页面通过相应的标签完成：

Java代码 收藏代码

自定义authorizer

authorizer=org.apache.shiro.authz.ModularRealmAuthorizer

自定义permissionResolver

permissionResolver=org.apache.shiro.authz.permission.WildcardPermissionResolver

permissionResolver=com.github.zhangkaitao.shiro.chapter3.permission.BitAndWildPermissionResolver
authorizer.permissionResolver=$permissionResolver

自定义rolePermissionResolver

rolePermissionResolver=com.github.zhangkaitao.shiro.chapter3.permission.MyRolePermissionResolver
authorizer.rolePermissionResolver=$rolePermissionResolver

securityManager.authorizer=$authorizer
Java代码 收藏代码

自定义realm 一定要放在securityManager.authorizer赋值之后（因为调用setRealms会将realms设置给authorizer，并给各个Realm设置permissionResolver和rolePermissionResolver）

realm=com.github.zhangkaitao.shiro.chapter3.realm.MyRealm
securityManager.realms=$realm
设置securityManager 的realms一定要放到最后，因为在调用SecurityManager.setRealms时会将realms设置给authorizer，并为各个Realm设置permissionResolver和rolePermissionResolver。另外，不能使用IniSecurityManagerFactory创建的IniRealm，因为其初始化顺序的问题可能造成后续的初始化Permission造成影响。

2、定义BitAndWildPermissionResolver及BitPermission

BitPermission用于实现位移方式的权限，如规则是：

权限字符串格式：+资源字符串+权限位+实例ID；以+开头中间通过+分割；权限：0 表示所有权限；1 新增（二进制：0001）、2 修改（二进制：0010）、4 删除（二进制：0100）、8 查看（二进制：1000）；如 +user+10 表示对资源user拥有修改/查看权限。

Java代码 收藏代码
public class BitPermission implements Permission {
private String resourceIdentify;
private int permissionBit;
private String instanceId;
public BitPermission(String permissionString) {
String[] array = permissionString.split(“\+”);
if(array.length > 1) {
resourceIdentify = array[1];
}
if(StringUtils.isEmpty(resourceIdentify)) {
resourceIdentify = “*”;
}
if(array.length > 2) {
permissionBit = Integer.valueOf(array[2]);
}
if(array.length > 3) {
instanceId = array[3];
}
if(StringUtils.isEmpty(instanceId)) {
instanceId = “*”;
}
} 

@Override  
public boolean implies(Permission p) {  if(!(p instanceof BitPermission)) {  return false;  }  BitPermission other = (BitPermission) p;  if(!("*".equals(this.resourceIdentify) || this.resourceIdentify.equals(other.resourceIdentify))) {  return false;  }  if(!(this.permissionBit ==0 || (this.permissionBit & other.permissionBit) != 0)) {  return false;  }  if(!("*".equals(this.instanceId) || this.instanceId.equals(other.instanceId))) {  return false;  }  return true;  
}

}
Permission接口提供了boolean implies(Permission p)方法用于判断权限匹配的；

Java代码 收藏代码
public class BitAndWildPermissionResolver implements PermissionResolver {
@Override
public Permission resolvePermission(String permissionString) {
if(permissionString.startsWith(“+”)) {
return new BitPermission(permissionString);
}
return new WildcardPermission(permissionString);
}
}
BitAndWildPermissionResolver实现了PermissionResolver接口，并根据权限字符串是否以“+”开头来解析权限字符串为BitPermission或WildcardPermission。

3、定义MyRolePermissionResolver

RolePermissionResolver用于根据角色字符串来解析得到权限集合。

Java代码 收藏代码
public class MyRolePermissionResolver implements RolePermissionResolver {
@Override
public Collection resolvePermissionsInRole(String roleString) {
if(“role1”.equals(roleString)) {
return Arrays.asList((Permission)new WildcardPermission(“menu:*”));
}
return null;
}
}
此处的实现很简单，如果用户拥有role1，那么就返回一个“menu:*”的权限。

4、自定义Realm

Java代码 收藏代码
public class MyRealm extends AuthorizingRealm {
@Override
protected AuthorizationInfo doGetAuthorizationInfo(PrincipalCollection principals) {
SimpleAuthorizationInfo authorizationInfo = new SimpleAuthorizationInfo();
authorizationInfo.addRole(“role1”);
authorizationInfo.addRole(“role2”);
authorizationInfo.addObjectPermission(new BitPermission(“+user1+10”));
authorizationInfo.addObjectPermission(new WildcardPermission(“user1:*”));
authorizationInfo.addStringPermission(“+user2+10”);
authorizationInfo.addStringPermission(“user2:*”);
return authorizationInfo;
}
@Override
protected AuthenticationInfo doGetAuthenticationInfo(AuthenticationToken token) throws AuthenticationException {
//和com.github.zhangkaitao.shiro.chapter2.realm.MyRealm1. getAuthenticationInfo代码一样，省略
}
}
此时我们继承AuthorizingRealm而不是实现Realm接口；推荐使用AuthorizingRealm，因为：

AuthenticationInfo doGetAuthenticationInfo(AuthenticationToken token)：表示获取身份验证信息；

AuthorizationInfo doGetAuthorizationInfo(PrincipalCollection principals)：表示根据用户身份获取授权信息。

这种方式的好处是当只需要身份验证时只需要获取身份验证信息而不需要获取授权信息。对于AuthenticationInfo和AuthorizationInfo请参考其Javadoc获取相关接口信息。

另外我们可以使用JdbcRealm，需要做的操作如下：

1、执行sql/ shiro-init-data.sql 插入相关的权限数据；

2、使用shiro-jdbc-authorizer.ini配置文件，需要设置jdbcRealm.permissionsLookupEnabled

为true来开启权限查询。

此次还要注意就是不能把我们自定义的如“+user1+10”配置到INI配置文件，即使有IniRealm完成，因为IniRealm在new完成后就会解析这些权限字符串，默认使用了WildcardPermissionResolver完成，即此处是一个设计权限，如果采用生命周期（如使用初始化方法）的方式进行加载就可以解决我们自定义permissionResolver的问题。

5、测试用例

Java代码 收藏代码
public class AuthorizerTest extends BaseTest { 

@Test  
public void testIsPermitted() {  login("classpath:shiro-authorizer.ini", "zhang", "123");  //判断拥有权限：user:create  Assert.assertTrue(subject().isPermitted("user1:update"));  Assert.assertTrue(subject().isPermitted("user2:update"));  //通过二进制位的方式表示权限  Assert.assertTrue(subject().isPermitted("+user1+2"));//新增权限  Assert.assertTrue(subject().isPermitted("+user1+8"));//查看权限  Assert.assertTrue(subject().isPermitted("+user2+10"));//新增及查看  Assert.assertFalse(subject().isPermitted("+user1+4"));//没有删除权限  Assert.assertTrue(subject().isPermitted("menu:view"));//通过MyRolePermissionResolver解析得到的权限  
}

}
通过如上步骤可以实现自定义权限验证了。另外因为不支持hasAnyRole/isPermittedAny这种方式的授权，可以参考我的一篇《简单shiro扩展实现NOT、AND、OR权限验证 》进行简单的扩展完成这个需求，在这篇文章中通过重写AuthorizingRealm里的验证逻辑实现的。

示例源代码：https://github.com/zhangkaitao/shiro-example；可加群134755960探讨Spring/Shiro技术。

这篇关于第三章 授权——《跟我学Shiro》的文章就介绍到这儿，希望我们推荐的文章对编程师们有所帮助！


http://www.chinasem.cn/article/746411。

相关文章

【Shiro】Shiro 的学习教程（三）之 SpringBoot 集成 Shiro

【Shiro】Shiro 的学习教程（三）之 SpringBoot 集成 Shiro

目录 1、环境准备2、引入 Shiro3、实现认证、退出3.1、使用死数据实现3.2、引入数据库，添加注册功能后端代码前端代码 3.3、MD5、Salt 的认证流程 4.、实现授权4.1、基于角色授权4.2、基于资源授权 5、引入缓存5.1、EhCache 实现缓存5.2、集成 Redis 实现 Shiro 缓存 1、环境准备 新建一个 SpringBoot 工程，引入依赖：
阅读更多...
【Shiro】Shiro 的学习教程（二）之认证、授权源码分析

【Shiro】Shiro 的学习教程（二）之认证、授权源码分析

目录 1、背景2、相关类图3、解析3.1、加载、解析阶段3.2、认证阶段3.3、授权阶段 1、背景 继上节代码，通过 debug 进行 shiro 源码分析。 2、相关类图 debug 之前，先了解下一些类的结构图： ①：SecurityManager：安全管理器 DefaultSecurityManager： RememberMeManager：实现【记住我】功能
阅读更多...
【Shiro】Shiro 的学习教程（一）之快速入门

【Shiro】Shiro 的学习教程（一）之快速入门

目录 1、Shiro 简介2、Shiro 认证、授权2.1、认证2.2、授权 3、快速入门4、自定义 Realm5、加密6、实现授权 1、Shiro 简介 Shiro 官网：https://shiro.apache.org/ Shiro 是一个功能强大且易于使用的 Java 安全框架，它执行身份验证、授权、加密和会话管理。使用 Shiro 易于理解的 API，您可以快速轻松地保
阅读更多...
第三章 UML类图简介（设计模式笔记）

第三章 UML类图简介（设计模式笔记）

第三章 UML类图简介 3.1类 3.2接口 名字层必须有<> 3.3 泛化(继承)关系 箭头终点端指向父类（空心三角形） 3.4 关联(组合1)关系 B类是A类的成员变量 ,称A关联B。 箭头终点端指向B 3.5 依赖(组合2)关系 B类是A类的某个方法的参数 ,称A依赖B。 箭头终点端指向B(虚线) 3.6 实现关系 箭头终点端指向接口（虚线，空心
阅读更多...
spring security 中的授权使用

spring security 中的授权使用

一、认证     身份认证，就是判断一个用户是否为合法用户的处理过程。Spring Security 中支持多种不同方式的认证，但是无论开发者使用那种方式认证，都不会影响授权功能使用。因为 SpringSecurity 很好做到了认证和授权解耦。   二、授权     授权，即访问控制，控制谁能访问哪些资源。简单的理解授权就是根据系统提前设置好的规则，给用户分配可以访问某一个资源的
阅读更多...
OAuth2 Token实现授权码模式

OAuth2 Token实现授权码模式

文章目录 OAuth2 授权：Resource owner password（密码模式）OAuth2 授权：Authorization code grant授权码模式，适用于浏览器模式OAuth2：Implicit（简化授权模式）OAuth：Client credentials（客户端证书）授权码模式使用案例 OAuth2 授权：Resource owner password（密
阅读更多...
统计学（贾俊平）学习笔记--第三章、 数据预处理

统计学（贾俊平）学习笔记--第三章、 数据预处理

数据预处理无论是从数据分类分析、数据信息抽取、数据挖掘、模型建立等方面都是需要的，也是数据工作者最开始招手做的，而统计学（贾俊平）中从理论的角度讲解了数据预处理的概念和方法吗，在此将主要要点列举如下，供有心人参考学些。       数据的预处理是在对数据分类或分组之前所做的必要处理，内容包括数据的审核、筛选、排序等。          审核就是检查数据中是否有错误。从完整性和准
阅读更多...
SpringBoot + SpringSecurity 控制授权

SpringBoot + SpringSecurity 控制授权

授权简介 一般的人会认为，不同的角色登录进同一个系统，根据角色权限的不同，看到的菜单不同就是控制授权。其实并不是的，菜单的是否显示只是前端交互上的一个设计而已，真正需要授权的地方的接口的访问。 普通的系统通常会有两个端，一个是给用户用的业务系统（比如购物商城的买家端），一个是给公司运营人员用的管理端（可以统计销售量，用户量等信息）。 业务端的权限通常比较简单，可以区分为是否登录，或者简单的
阅读更多...
第三章 《栖息地》

第三章 《栖息地》

在第一款商业化的MUD《凯斯迈之岛》正式运营的同一年，世界上第一款包月计费的网络游戏也诞生了。那一年里，马克·雅各布斯（Mark Jacobs）的AUSI公司推出了文本MUD游戏《阿拉达斯》（Aradath），他将服务器架设在了自己的家中，并安装了8条电话线来为玩家提供接入服务，想要玩这款游戏的玩家每月需要向AUSI支付40美元——这就是最早的包月形式。在后面的故事里，马
阅读更多...
JWT详解：一种轻量级的身份验证和授权机制

JWT详解：一种轻量级的身份验证和授权机制

引言 JSON Web Token（JWT）是一种基于JSON格式的开放标准（RFC 7519），它定义了一种紧凑且自包含的方式，用于在各方之间安全地传输信息。JWT因其轻量级、可扩展性和安全性，在Web应用程序和RESTful API中得到了广泛应用。本文将详细解析JWT的概念、结构、工作原理、应用场景以及使用时的安全注意事项。 JWT的基本概念 JWT是一种用于在用户和服务器之间传递安全
阅读更多...

Copyright China编程 23002807@qq.com

沪ICP备2023033072号-2