《跟我學Shiro》學習筆記 第二章:身份驗證

前言

上一章主要對Shiro功能，運行原理，架構設計進行了介紹，這一章我們主要學習Shiro的身份驗證。本章的代碼我會上傳至GitHub，鏈接見文末。

身份驗證：即在應用中誰能證明他就是他本人。一般提供如他們的身份ID一些標識信息來表明他就是他本人，如提供身份證，用戶名/密碼來證明。

在shiro中，用戶需要提供principals （身份）和credentials（證明）給shiro，從而應用能驗證用戶身份：

principals：身份，即主體的標識屬性，可以是任何東西，如用戶名、郵箱等，唯一即可。一個主體可以有多個principals，但只有一個Primary principals，一般是用戶名/密碼/手機號。

credentials：證明/憑證，即只有主體知道的安全值，如密碼/數字證書等。

最常見的principals和credentials組合就是用戶名/密碼了。接下來先進行一個基本的身份認證。

2.1環境準備

引入相關依賴

<dependencies>
        <dependency>
            <groupId>junit</groupId>
            <artifactId>junit</artifactId>
            <version>4.9</version>
        </dependency>

        <dependency>
            <groupId>org.projectlombok</groupId>
            <artifactId>lombok</artifactId>
            <version>1.16.10</version>
        </dependency>

        <dependency>
            <groupId>ch.qos.logback</groupId>
            <artifactId>logback-classic</artifactId>
            <version>1.0.13</version>
        </dependency>

        <dependency>
            <groupId>commons-logging</groupId>
            <artifactId>commons-logging</artifactId>
            <version>1.1.3</version>
        </dependency>
    
        <dependency>
            <groupId>org.apache.shiro</groupId>
            <artifactId>shiro-core</artifactId>
            <version>1.2.2</version>
        </dependency>
    </dependencies>

2.2登錄/登出

  1. 首先準備一些 用戶身份/憑據（shiro.ini）

    [users]  
zhang=123  
wang=123

    這里使用ini配置文件，[users]指定了兩個主體：zhang/123、wang/123。

  2. 測試用例（com.zhaojun.shiro.chapter2.LoginLogoutTest）

     @Test
    public void testHelloWorld() {
        //1. 獲取SecurityManagerFactory，此處使用ini配置文件初始化SecurityManager
        Factory<SecurityManager> factory = new IniSecurityManagerFactory("classpath:shiro.ini");
        /*
         2. 得到SecurityManager實例，并綁定到SecurityUtils上
         接著獲取SecurityManager并綁定到SecurityUtils，這是一個全局設置，設置一次即可
         SecurityManager是在org.apache.shiro.mgt包下
         */
        SecurityManager securityManager = factory.getInstance();
        SecurityUtils.setSecurityManager(securityManager);
        /*
           3. 得到Subject及創建用戶名/密碼身份驗證Token（即用戶身份/憑證）
           通過SecurityUtils得到Subject，其會自動綁定到當前線程；
           如果在web環境在請求結束時需要解除綁定；然后獲取身份驗證的Token，如用戶名/密碼
         */
        Subject subject = SecurityUtils.getSubject();
        UsernamePasswordToken token = new UsernamePasswordToken("wang", "123");

        try {
            /*
               4. 登錄，即驗證身份
               調用subject.login方法進行登錄，其會自動委托給SecurityManager.login方法進行登錄
             */
            subject.login(token);
            log.info("用戶登錄成功");
        } catch (AuthenticationException e) {
            /*
            如果身份驗證失敗請捕獲AuthenticationException或其子類，常見的如： DisabledAccountException（禁用的帳號）、
            LockedAccountException（鎖定的帳號）、UnknownAccountException（錯誤的帳號）、
            ExcessiveAttemptsException（登錄失敗次數過多）、IncorrectCredentialsException （錯誤的憑證）、
            ExpiredCredentialsException（過期的憑證）等，具體請查看其繼承關系；對于頁面的錯誤消息展示，
            最好使用如“用戶名/密碼錯誤”而不是“用戶名錯誤”/“密碼錯誤”，防止一些惡意用戶非法掃描帳號庫
             */
            log.error("身份驗證失敗:{}", e.getLocalizedMessage());
        }

        Assert.assertEquals(true, subject.isAuthenticated());

        //6. 退出
        subject.logout();
    }

    從以上代碼可以總結出身份驗證的步驟：

    1. 收集用戶身份/憑證，即如用戶名/密碼；
    2. 調用Subject.login進行登錄，如果失敗將得到相應的AuthenticationException異常，根據異常提示用戶錯誤信息；否則登錄成功；
    3. 最后調用Subject.logout進行退出操作。

    如上測試的幾個問題：

    1. 用戶名/密碼硬編碼在ini配置文件，以后需要改成如數據庫存儲，且密碼需要加密存儲；
    2. 用戶身份Token可能不僅僅是用戶名/密碼，也可能還有其他的，如登錄時允許用戶名/郵箱/手機號同時登錄。

    2.3身份認證流程

身份認證流程圖

流程如下：

  1. 首先調用Subject.login(token)進行登錄，其會自動委托給Security Manager，調用之前必須通過SecurityUtils. setSecurityManager()設置；
  2. SecurityManager負責真正的身份驗證邏輯；它會委托給Authenticator進行身份驗證；
  3. Authenticator才是真正的身份驗證者，Shiro API中核心的身份認證入口點，此處可以自定義插入自己的實現；
  4. Authenticator可能會委托給相應的AuthenticationStrategy進行多Realm身份驗證，默認ModularRealmAuthenticator會調用AuthenticationStrategy進行多Realm身份驗證；
  5. Authenticator會把相應的token傳入Realm，從Realm獲取身份驗證信息，如果沒有返回/拋出異常表示身份驗證失敗了。此處可以配置多個Realm，將按照相應的順序及策略進行訪問。

2.4Realm

Realm：域，Shiro從從Realm獲取安全數據（如用戶、角色、權限），就是說SecurityManager要驗證用戶身份，那么它需要從Realm獲取相應的用戶進行比較以確定用戶身份是否合法；也需要從Realm得到用戶相應的角色/權限進行驗證用戶是否能進行操作；可以把Realm看成DataSource，即安全數據源。如我們之前的ini配置方式將使用org.apache.shiro.realm.text.IniRealm。

org.apache.shiro.realm.Realm接口如下：

String getName(); //返回一個唯一的Realm名字  
boolean supports(AuthenticationToken token); //判斷此Realm是否支持此Token  
AuthenticationInfo getAuthenticationInfo(AuthenticationToken token)  
 throws AuthenticationException;  //根據Token獲取認證信息

2.4.1單Realm配置

  1. 自定義Realm實現：

    @Slf4j
public class MyRealm1 implements Realm {
    public String getName() {
        return "myRealm1";
    }

    public boolean supports(AuthenticationToken authenticationToken) {
        //僅支持UsernamePasswordToken類型的token
        return authenticationToken instanceof UsernamePasswordToken;
    }

    public AuthenticationInfo getAuthenticationInfo(AuthenticationToken authenticationToken) throws AuthenticationException {
        String username = (String) authenticationToken.getPrincipal();

        String password = new String((char[])authenticationToken.getCredentials());

        log.info("username:{},password:{}",username,password);

        if(!"zhang".equals(username)){
            log.info("用戶名錯誤");
            throw new UnknownAccountException();
        }

        if(!"123".equals(password)){
            log.info("密碼錯誤");
            throw new IncorrectCredentialsException();
        }
        //若身份認證成功，返回一個AuthenticationInfo實現
        return new SimpleAuthenticationInfo(username,password,getName());
    }
}

  2. ini配置文件指定自定義Realm實現(shiro-realm.ini)

    #申明一個realm
myRealm1= com.zhaojun.shiro.chapter2.realm.MyRealm1
#指定securityManager的realms實現
securityManager.realms=$myRealm1

    通過$name來引入之前的realm定義

  3. 測試用例請參考com.zhaojun.shiro.chapter2.LoginLogoutTest的testCustomRealm測試方法，只需要把之前的shiro.ini配置文件改成shiro-realm.ini即可。

2.4.2多Realm配置

  1. ini配置文件（shiro-multi-realm.ini）

    #申明多個realm
myRealm1= com.zhaojun.shiro.chapter2.realm.MyRealm1
myRealm2= com.zhaojun.shiro.chapter2.realm.MyRealm2
#指定securityManager的realms實現
securityManager.realms=$myRealm1,$myRealm2

    securityManager會按照realms指定的順序進行身份認證。此處我們使用顯示指定順序的方式指定了Realm的順序，如果刪除“securityManager.realms=$myRealm1$myRealm2”，那么securityManager會按照realm聲明的順序進行使用（即無需設置realms屬性，其會自動發現），當我們顯示指定realm后，其他沒有指定realm將被忽略，如“securityManager.realms=$myRealm1”，那么myRealm2不會被自動設置進去。

  2. 測試用例請參考com.zhaojun.shiro.chapter2.LoginLogoutTest的testCustomMultiRealm測試方法，只需要把之前的shiro.ini配置文件改成shiro-multi-realm.ini即可。

2.4.3Shiro默認提供的Realm

Realm繼承關系

以后一般繼承AuthorizingRealm（授權）即可；其繼承了AuthenticatingRealm（即身份驗證），而且也間接繼承了CachingRealm（帶有緩存實現）。其中主要默認實現如下：

org.apache.shiro.realm.text.IniRealm：[users]部分指定用戶名/密碼及其角色；[roles]部分指定角色即權限信息；

org.apache.shiro.realm.text.PropertiesRealm： user.username=password,role1,role2指定用戶名/密碼及其角色；role.role1=permission1,permission2指定角色及權限信息；

org.apache.shiro.realm.jdbc.JdbcRealm：通過sql查詢相應的信息，如“select password from users where username = ?”獲取用戶密碼，“select password, password_salt from users where username = ?”獲取用戶密碼及鹽；“select role_name from user_roles where username = ?”獲取用戶角色；“select permission from roles_permissions where role_name = ?”獲取角色對應的權限信息；也可以調用相應的api進行自定義sql；

2.4.4JdbcRealm使用

  1. 引入數據庫相關依賴

    <dependency>
    <groupId>mysql</groupId>
    <artifactId>mysql-connector-java</artifactId>
    <version>5.1.25</version>
</dependency>
<dependency>
    <groupId>com.alibaba</groupId>
    <artifactId>druid</artifactId>
    <version>0.2.23</version>
</dependency>

  2. 新建數據庫shiro，并新建三張表，users（用戶名/密碼）、user_roles（用戶/角色）、roles_permissions（角色/權限）。具體請參照/shiro-example-chapter2/src/main/sql/shiro.sql。并添加一條用戶記錄：zhang/123。

  3. ini配置（shiro-jdbc-realm.ini）

    jdbcRealm=org.apache.shiro.realm.jdbc.JdbcRealm
dataSource=com.alibaba.druid.pool.DruidDataSource
dataSource.driverClassName=com.mysql.jdbc.Driver
dataSource.url=jdbc:mysql://localhost:3306/shiro
dataSource.username=root
dataSource.password=123
jdbcRealm.dataSource=$dataSource
securityManager.realms=$jdbcRealm

  4. 測試用例參照com.zhaojun.shiro.chapter2.LoginLogoutTest的testJDBCRealm方法。與之前的方法基本一致，只是替換引用的配置文件即可。

    JdbcRealm會自己進行數據庫查詢，JdbcRealm.java相關源碼如下：

    //查詢語句
protected String authenticationQuery = "select password from users where username = ?";

//獲取認證信息
protected AuthenticationInfo doGetAuthenticationInfo(AuthenticationToken token) throws AuthenticationException {
        UsernamePasswordToken upToken = (UsernamePasswordToken)token;
        String username = upToken.getUsername();
        if (username == null) {
            throw new AccountException("Null usernames are not allowed by this realm.");
        } else {
            Connection conn = null;
            SimpleAuthenticationInfo info = null;

            try {
                String salt;
                try {
                    conn = this.dataSource.getConnection();
                    String password = null;
                    salt = null;
                    switch(this.saltStyle) {
                    case NO_SALT:
                        password = this.getPasswordForUser(conn, username)[0];
                        break;
                    case CRYPT:
                        throw new ConfigurationException("Not implemented yet");
                    case COLUMN:
                        String[] queryResults = this.getPasswordForUser(conn, username);
                        password = queryResults[0];
                        salt = queryResults[1];
                        break;
                    case EXTERNAL:
                        password = this.getPasswordForUser(conn, username)[0];
                        salt = this.getSaltForUser(username);
                    }
                //查詢結果為空，拋出賬戶錯誤異常
                    if (password == null) {
                        throw new UnknownAccountException("No account found for user [" + username + "]");
                    }
               //若查詢結果不為空，則創建一個用戶認證信息
                    info = new SimpleAuthenticationInfo(username, password.toCharArray(), this.getName());
                    if (salt != null) {
                        info.setCredentialsSalt(Util.bytes(salt));
                    }
                } catch (SQLException var12) {
                    salt = "There was a SQL error while authenticating user [" + username + "]";
                    if (log.isErrorEnabled()) {
                        log.error(salt, var12);
                    }

                    throw new AuthenticationException(salt, var12);
                }
            } finally {
                JdbcUtils.closeConnection(conn);
            }

            return info;
        }
    }
//通過用戶名查詢密碼，判斷用戶是否存在
private String[] getPasswordForUser(Connection conn, String username) throws SQLException {
        boolean returningSeparatedSalt = false;
        String[] result;
        switch(this.saltStyle) {
        case NO_SALT:
        case CRYPT:
        case EXTERNAL:
            result = new String[1];
            break;
        case COLUMN:
        default:
            result = new String[2];
            returningSeparatedSalt = true;
        }

        PreparedStatement ps = null;
        ResultSet rs = null;

        try {
            ps = conn.prepareStatement(this.authenticationQuery);
            ps.setString(1, username);
            //執行查詢
            rs = ps.executeQuery();

            for(boolean foundResult = false; rs.next(); foundResult = true) {
                if (foundResult) {
                    throw new AuthenticationException("More than one user row found for user [" + username + "]. Usernames must be unique.");
                }

                result[0] = rs.getString(1);
                if (returningSeparatedSalt) {
                    result[1] = rs.getString(2);
                }
            }
        } finally {
            JdbcUtils.closeResultSet(rs);
            JdbcUtils.closeStatement(ps);
        }

        return result;
    }

2.5Authenticator及AuthenticationStrategy

Authenticator的職責是驗證用戶帳號，是Shiro API中身份驗證核心的入口點：

   public AuthenticationInfo authenticate(AuthenticationToken authenticationToken)  
               throws AuthenticationException;

如果驗證成功，將返回AuthenticationInfo驗證信息；此信息中包含了身份及憑證；如果驗證失敗將拋出相應的AuthenticationException實現。

SecurityManager接口繼承了Authenticator，另外還有一個ModularRealmAuthenticator實現，其委托給多個Realm進行驗證，驗證規則通過AuthenticationStrategy接口指定，默認提供的實現：

FirstSuccessfulStrategy：只要有一個Realm驗證成功即可，只返回第一個Realm身份驗證成功的認證信息，其他的忽略；

AtLeastOneSuccessfulStrategy：只要有一個Realm驗證成功即可，和FirstSuccessfulStrategy不同，返回所有Realm身份驗證成功的認證信息；

AllSuccessfulStrategy：所有Realm驗證成功才算成功，且返回所有Realm身份驗證成功的認證信息，如果有一個失敗就失敗了。

ModularRealmAuthenticator默認使用AtLeastOneSuccessfulStrategy策略。

假設我們有三個realm：

myRealm1： 用戶名/密碼為zhang/123時成功，且返回身份/憑據為zhang/123；

myRealm2： 用戶名/密碼為wang/123時成功，且返回身份/憑據為wang/123；

myRealm3： 用戶名/密碼為zhang/123時成功，且返回身份/憑據為zhang@163.com/123，和myRealm1不同的是返回時的身份變了；

  1. ini配置文件（shiro-authenticator-all-success.ini）

    #指定securityManager的authenticator實現
authenticator=org.apache.shiro.authc.pam.ModularRealmAuthenticator
securityManager.authenticator=$authenticator

#指定securityManager.authenticator的authenticationStrategy
allSuccessfulStrategy=org.apache.shiro.authc.pam.AllSuccessfulStrategy
securityManager.authenticator.authenticationStrategy=$allSuccessfulStrategy

#申明多個realm
myRealm1= com.zhaojun.shiro.chapter2.realm.MyRealm1
myRealm2= com.zhaojun.shiro.chapter2.realm.MyRealm2
myRealm3= com.zhaojun.shiro.chapter2.realm.MyRealm3
#指定securityManager的realms實現
securityManager.realms=$myRealm1,$myRealm2,$myRealm3

  2. 測試代碼（com.zhaojun.shiro.chapter2.AuthenticatorTest）

    private void login(String configFile){
        //獲取SecurityManager工廠，使用配置文件初始化工廠
        Factory<SecurityManager> factory = new IniSecurityManagerFactory(configFile);
        //得到SecurityManager實例，并綁定到SecurityUtils
        SecurityManager securityManager = factory.getInstance();
        SecurityUtils.setSecurityManager(securityManager);

        //獲取Subject
        Subject subject = SecurityUtils.getSubject();

        //創建Token
        UsernamePasswordToken token = new UsernamePasswordToken("zhang","123");

        //登錄
        subject.login(token);
    }

    @Test
    public void testAllSuccessfulStrategy(){
        login("classpath:shiro-authenticator-all-success.ini");
        Subject subject = SecurityUtils.getSubject();

        //得到一個身份集合
        PrincipalCollection principals = subject.getPrincipals();
        List list = principals.asList();
        for(Object i : list){
            log.info(i.toString());
        }
    }

    這時程序會拋出UnknownAccountException異常，因為我們用的是AllSuccessfulStrategy，需要所有Realm驗證成功才算成功。

    1. 新建配置文件（shiro-authenticator-least-one-success.ini）

      #指定securityManager的authenticator實現
authenticator=org.apache.shiro.authc.pam.ModularRealmAuthenticator
securityManager.authenticator=$authenticator

#指定securityManager.authenticator的authenticationStrategy
atLeastOneSuccessfulStrategy=org.apache.shiro.authc.pam.AtLeastOneSuccessfulStrategy
securityManager.authenticator.authenticationStrategy=$atLeastOneSuccessfulStrategy

#申明多個realm
myRealm1= com.zhaojun.shiro.chapter2.realm.MyRealm1
myRealm2= com.zhaojun.shiro.chapter2.realm.MyRealm2
myRealm3= com.zhaojun.shiro.chapter2.realm.MyRealm3
#指定securityManager的realms實現
securityManager.realms=$myRealm1,$myRealm2,$myRealm3

    2. 測試代碼（com.zhaojun.shiro.chapter2.AuthenticatorTest）

        @Test
    public void testAtLeastOneSuccessfulStrategy(){
        login("classpath:shiro-authenticator-least-one-success.ini");
        Subject subject = SecurityUtils.getSubject();

        //得到一個身份集合
        PrincipalCollection principals = subject.getPrincipals();
        List list = principals.asList();
        for(Object i : list){
            log.info(i.toString());
        }
    }

      可以看到輸出日志,返回了兩個身份信息

      00:40:32.294 [main] INFO  c.z.shiro.chapter2.AuthenticatorTest - zhang
00:40:32.294 [main] INFO  c.z.shiro.chapter2.AuthenticatorTest - zhang@163.com

    到此，身份驗證就基本搞定了，重點是身份驗證的基本流程，以及常用的Realm的用法，如何自定義Realm和常用的認證策略。

張開濤的博客：http://jinnianshilongnian.iteye.com/category/305053

我的博客：https://zhaojun0193.github.io

本文代碼地址：https://github.com/zhaojun0193/shiro-example

最后編輯于 ：
?著作權歸作者所有,轉載或內容合作請聯系作者
平臺聲明：文章內容（如有圖片或視頻亦包括在內）由作者上傳并發布，文章內容僅代表作者本人觀點，簡書系信息發布平臺，僅提供信息存儲服務。

推薦閱讀更多精彩內容

  • 身份驗證，即在應用中誰能證明他就是他本人。一般提供如他們的身份ID一些標識信息來表明他就是他本人，如提供身份證，用...
    小孩真笨閱讀 547評論 0贊 0
  • 文章轉載自：http://blog.csdn.net/w1196726224/article/details/53...
    wangzaiplus閱讀 3,411評論 0贊 3
  • 構建一個互聯網應用，權限校驗管理是很重要的安全措施，這其中主要包含： 認證 - 用戶身份識別，即登錄 授權 - 訪...
    zhuke閱讀 3,555評論 0贊 30
  • 說明：本文很多觀點和內容來自互聯網以及各種資料，如果侵犯了您的權益，請及時聯系我，我會刪除相關內容。 權限管理 基...
    寇寇寇先森閱讀 7,634評論 8贊 76
  • 妗子昨天晚上12點10分走了，帶著渾身的病痛和晚年的凄涼，這似乎是一個相對美好的結局。至少她不用成天疼痛地嗷嗷叫了...
    綠蘿花123閱讀 727評論 3贊 3