189 8069 5689
这篇文章主要讲解了基于spring boot 2和shiro如何实现身份验证，内容清晰明了，对此有兴趣的小伙伴可以学习一下，相信大家阅读完之后会有帮助。
创新互联总部坐落于成都市区，致力网站建设服务有成都做网站、网站设计、网络营销策划、网页设计、网站维护、公众号搭建、微信小程序、软件开发等为企业提供一整套的信息化建设解决方案。创造真正意义上的网站建设，为互联网品牌在互动行销领域创造价值而不懈努力！
Shiro是一个功能强大且易于使用的Java安全框架。
主要功能有身份验证、授权、加密和会话管理。
其它特性有Web支持、缓存、测试支持、允许一个用户用另一个用户的身份进行访问、记住我。
Shiro有三个核心组件：Subject，SecurityManager和 Realm。
Subject：即当前操作“用户”，“用户”并不仅仅指人，也可以是第三方进程、后台帐户或其他类似事物。
SecurityManager：安全管理器，Shiro框架的核心，通过SecurityManager来管理所有Subject，并通过它来提供安全管理的各种服务。
Realm：域，充当了Shiro与应用安全数据间的“桥梁”或者“连接器”。也就是说，当对用户执行认证（登录）和授权（访问控制）验证时，Shiro会从应用配置的Realm中查找用户及其权限信息。当配置Shiro时，必须至少指定一个Realm，用于认证和（或）授权。
Spring Boot 中整合Shiro，根据引入的依赖包shiro-spring和shiro-spring-boot-web-starter（当前版本都是1.4.2）不同有两种不同方法。
方法一：引入依赖包shiro-spring
1、IDEA中创建一个新的SpringBoot项目，pom.xml引用的依赖包如下：
org.springframework.boot spring-boot-starter-web org.apache.shiro shiro-spring 1.4.2
2、创建Realm和配置shiro
（1）创建Realm
package com.example.demo.config;
import org.apache.shiro.authc.*;
import org.apache.shiro.authz.AuthorizationInfo;
import org.apache.shiro.realm.AuthorizingRealm;
import org.apache.shiro.subject.PrincipalCollection;
public class MyRealm extends AuthorizingRealm {
/**权限信息，暂不实现*/
@Override
protected AuthorizationInfo doGetAuthorizationInfo(PrincipalCollection principalCollection) {
return null;
}
/**身份认证:验证用户输入的账号和密码是否正确。*/
@Override
protected AuthenticationInfo doGetAuthenticationInfo(AuthenticationToken token) throws AuthenticationException {
//获取用户输入的账号
String userName = (String) token.getPrincipal();
//验证用户admin和密码123456是否正确
if (!"admin".equals(userName)) {
throw new UnknownAccountException("账户不存在!");
}
SimpleAuthenticationInfo authenticationInfo = new SimpleAuthenticationInfo(userName, "123456", getName());
return authenticationInfo;
//实际项目中，上面账号从数据库中获取用户对象，再判断是否存在
/*User user = userService.findByUserName(userName);
if (user == null) {
throw new UnknownAccountException("账户不存在!");
}
SimpleAuthenticationInfo authenticationInfo = new SimpleAuthenticationInfo(user,user.getPassword(), getName());
return authenticationInfo;
*/
}
}（2）配置Shiro
package com.example.demo.config;
import org.apache.shiro.spring.web.ShiroFilterFactoryBean;
import org.apache.shiro.web.mgt.DefaultWebSecurityManager;
import org.springframework.context.annotation.Bean;
import org.springframework.context.annotation.Configuration;
import java.util.LinkedHashMap;
import java.util.Map;
@Configuration
public class ShiroConfig {
@Bean
MyRealm myRealm() {
return new MyRealm();
}
@Bean
DefaultWebSecurityManager securityManager() {
DefaultWebSecurityManager manager = new DefaultWebSecurityManager();
manager.setRealm(myRealm());
return manager;
}
@Bean
ShiroFilterFactoryBean shiroFilterFactoryBean() {
ShiroFilterFactoryBean bean = new ShiroFilterFactoryBean();
bean.setSecurityManager(securityManager());
//如果不设置默认会自动寻找Web工程根目录下的"/login.jsp"页面
bean.setLoginUrl("/login");
//登录成功后要跳转的链接
bean.setSuccessUrl("/index");
//未授权界面
bean.setUnauthorizedUrl("/403");
//配置不会被拦截的链接
Map map = new LinkedHashMap<>();
map.put("/doLogin", "anon");
map.put("/**", "authc");
bean.setFilterChainDefinitionMap(map);
return bean;
}
} 3、控制器测试方法
package com.example.demo.controller;
import org.apache.shiro.SecurityUtils;
import org.apache.shiro.authc.AuthenticationException;
import org.apache.shiro.authc.UnknownAccountException;
import org.apache.shiro.authc.UsernamePasswordToken;
import org.apache.shiro.subject.Subject;
import org.springframework.web.bind.annotation.GetMapping;
import org.springframework.web.bind.annotation.PostMapping;
import org.springframework.web.bind.annotation.RestController;
@RestController
public class LoginController {
@GetMapping("/login")
public String login() {
return "登录页面...";
}
@PostMapping("/doLogin")
public String doLogin(String userName, String password) {
Subject subject = SecurityUtils.getSubject();
try {
subject.login(new UsernamePasswordToken(userName, password));
return "登录成功!";
} catch (UnknownAccountException e) {
return e.getMessage();
} catch (AuthenticationException e) {
return "登陆失败，密码错误!";
}
}
//如果没有先登陆，访问会跳到/login
@GetMapping("/index")
public String index() {
return "index";
}
@GetMapping("/403")
public String unauthorizedRole(){
return "没有权限";
}
}方法二：引入依赖包shiro-spring-boot-web-starter
1、pom.xml中删除shiro-spring，引入shiro-spring-boot-web-starter
org.springframework.boot spring-boot-starter-web org.apache.shiro shiro-spring-boot-web-starter 1.4.2
2、创建Realm和配置shiro
（1）创建Realm，代码和方法一的一样。
（2）配置Shiro
package com.example.demo.config;
import org.apache.shiro.spring.web.config.DefaultShiroFilterChainDefinition;
import org.apache.shiro.spring.web.config.ShiroFilterChainDefinition;
import org.apache.shiro.web.mgt.DefaultWebSecurityManager;
import org.springframework.context.annotation.Bean;
import org.springframework.context.annotation.Configuration;
@Configuration
public class ShiroConfig {
@Bean
MyRealm myRealm() {
return new MyRealm();
}
@Bean
DefaultWebSecurityManager securityManager() {
DefaultWebSecurityManager manager = new DefaultWebSecurityManager();
manager.setRealm(myRealm());
return manager;
}
@Bean
ShiroFilterChainDefinition shiroFilterChainDefinition() {
DefaultShiroFilterChainDefinition definition = new DefaultShiroFilterChainDefinition();
definition.addPathDefinition("/doLogin", "anon");
definition.addPathDefinition("/**", "authc");
return definition;
}
}（3）application.yml配置
shiro: unauthorizedUrl: /403 successUrl: /index loginUrl: /login
看完上述内容，是不是对基于spring boot 2和shiro如何实现身份验证有进一步的了解，如果还想学习更多内容，欢迎关注创新互联行业资讯频道。