shiro与springSecurity
本文章介绍市面上常用的两大安全框架shiro与springSecurity；
shiro
【1】什么是Shiro
Shiro是Apache旗下一个开源框架，它将软件系统的安全认证相关的功能抽取出来，实现用户身份 认证，权限授权、加密、会话管理等功能，组成了一个通用的安全认证框架。
【2】Shiro 的特点
Shiro 是一个强大而灵活的开源安全框架，能够非常清晰的处理认证、授权、管理会话以及密码加密。如下是它所具有的特点：
易于理解的 JAVA Security API；
简单的身份认证（登录），支持多种数据源（LDAP，JDBC 等）；
对角色的简单的签权（访问控制），也支持细粒度的鉴权；
支持一级缓存，以提升应用程序的性能；
内置的基于 POJO 企业会话管理，适用于 Web 以及非 Web 的环境；
异构客户端会话访问；
非常简单的加密 API；
不跟任何的框架或者容器捆绑，可以独立运行。
【2】Shiro 的核心组件
Subject
Subject主体，外部应用与subject进行交互，subject将用户作为当前操作的主体，这个主体：可以是一 个通过浏览器请求的用户，也可能是一个运行的程序。Subject在shiro中是一个接口，接口中定义了很多认证授相关的方法，外部程序通过subject进行认证授，而subject是通过SecurityManager安全管理器进行认证授权
SecurityManager
SecurityManager权限管理器，它是shiro的核心，负责对所有的subject进行安全管理。通过 SecurityManager可以完成subject的认证、授权等，SecurityManager是通过Authenticator进行认 证，通过Authorizer进行授权，通过SessionManager进行会话管理等。SecurityManager是一个接 口，继承了Authenticator, Authorizer, SessionManager这三个接口
Authenticator
Authenticator即认证器，对用户登录时进行身份认证
Authorizer
Authorizer授权器，用户通过认证器认证通过，在访问功能时需要通过授权器判断用户是否有此功能的操作 权限。
Realm（数据库读取+认证功能+授权功能实现）
Realm领域，相当于datasource数据源，securityManager进行安全认证需要通过Realm获取用户权限数据
SessionManager
SessionManager会话管理，shiro框架定义了一套会话管理，它不依赖web容器的session，所以shiro 可以使用在非web应用上，也可以将分布式应用的会话集中在一点管理，此特性可使它实现单点登录。
SessionDAO
SessionDAO即会话dao，是对session会话操作的一套接
CacheManager
CacheManager缓存管理，将用户权限数据存储在缓存，这样可以提高性能
Cryptography
Cryptography密码管理，shiro提供了一套加密/解密的组件，方便开发。比如提供常用的散列、加/解密等 功能
【3】Shiro认证的基本流程
流程如下：
1、Shiro把用户的数据封装成标识token，token一般封装着用户名，密码等信息
2、使用Subject门面获取到封装着用户的数据的标识token SessionManager会话管理，shiro框架定义了一套会话管理，它不依赖web容器的session，所以shiro 可以使用在非web应用上，也可以将分布式应用的会话集中在一点管理，此特性可使它实现单点登录。 SessionDAO即会话dao，是对session会话操作的一套接口 比如: 可以通过jdbc将会话存储到数据库 也可以把session存储到缓存服务器 CacheManager缓存管理，将用户权限数据存储在缓存，这样可以提高性能 Cryptography密码管理，shiro提供了一套加密/解密的组件，方便开发。比如提供常用的散列、加/解密等功能
3、Subject把标识token交给SecurityManager，在SecurityManager安全中心中，SecurityManager 把标识token委托给认证器Authenticator进行身份验证。认证器的作用一般是用来指定如何验证，它规定本次认证用到哪些Realm
4、认证器Authenticator将传入的标识token，与数据源Realm对比，验证token是否合法
【5】shiro身份授权的基本流程
流程如下：
1、首先调用
Subject.isPermitted/hasRole接口，其会委托给SecurityManager。
2、SecurityManager接着会委托给内部组件Authorizer；
3、Authorizer再将其请求委托给我们的Realm去做；Realm才是真正干活的；
4、Realm将用户请求的参数封装成权限对象。再从我们重写的doGetAuthorizationInfo方法中获取从 数据库中查询到的权限集合。
5、Realm将用户传入的权限对象，与从数据库中查出来的权限对象，进行一一对比。如果用户传入的 权限对象在从数据库中查出来的权限对象中，则返回true，否则返回false。 进行授权操作的前提：用户必须通过认证。
【6】shiro示例代码
坐标
<!--shiro和spring整合-->
<dependency>
<groupId>org.apache.shiro</groupId>
<artifactId>shiro-spring</artifactId>
<version>1.3.2</version>
</dependency>
<!--shiro核心包-->
<dependency>
<groupId>org.apache.shiro</groupId>
<artifactId>shiro-core</artifactId>
<version>1.3.2</version>
</dependency>
配置文件：
@Configuration
public class ShiroConfig {
//1.创建realm
@Bean
public PurviewRealm getRealm() {
return new PurviewRealm();
}
//2.创建安全管理器
@Bean
public SecurityManager getSecurityManager(PurviewRealm realm) {
DefaultWebSecurityManager securityManager = new DefaultWebSecurityManager();
securityManager.setRealm(realm);
return securityManager;
}
//3.配置shiro的过滤器工厂再web程序中，shiro进行权限控制全部是通过一组过滤器集合进行控制
@Bean
public ShiroFilterFactoryBean shiroFilter(SecurityManager securityManager) {
//1.创建过滤器工厂
ShiroFilterFactoryBean filterFactory = new ShiroFilterFactoryBean();
//2.设置安全管理器
filterFactory.setSecurityManager(securityManager);
//3.通用配置（跳转登录页面，为授权跳转的页面）
filterFactory.setLoginUrl("/autherror");//跳转url地址
//4.设置过滤器集合
//key = 拦截的url地址
//value = 过滤器类型
Map<String, String> filterMap = new LinkedHashMap<>();
filterMap.put("/login", "anon");//当前请求地址可以匿名访问
filterMap.put("/checkgroup/**", "authc");//当前请求地址必须认证之后可以访问
//......
//在过滤器工程内设置过滤器
filterFactory.setFilterChainDefinitionMap(filterMap);
return filterFactory;
}
/**
* 开启aop注解支持
*
* @param securityManager
* @return
*/
@Bean
public AuthorizationAttributeSourceAdvisor authorizationAttributeSourceAdvisor(SecurityManager securityManager) {
AuthorizationAttributeSourceAdvisor advisor = new AuthorizationAttributeSourceAdvisor();
advisor.setSecurityManager(securityManager);
return advisor;
}
/**
* 开启Shiro的注解(如@RequiresRoles,@RequiresPermissions)
*
* @return
*/
@Bean
public DefaultAdvisorAutoProxyCreator advisorAutoProxyCreator() {
DefaultAdvisorAutoProxyCreator advisorAutoProxyCreator = new DefaultAdvisorAutoProxyCreator();
advisorAutoProxyCreator.setProxyTargetClass(true);
return advisorAutoProxyCreator;
}
}
realm
/**
* 自定义的realm
*/
public class PurviewRealm extends AuthorizingRealm {
public void setName(String name) {
super.setName("purviewRealm");
}
@Autowired
private UserService userService;
/**
* 授权方法
* 操作的时候，判断用户是否具有响应的权限
* 一定先认证再授权
* 先认证 -- 安全数据
* 再授权 -- 根据安全数据获取用户具有的所有操作权限
*/
protected AuthorizationInfo doGetAuthorizationInfo(PrincipalCollection principalCollection) {
//1.获取已认证的用户数据
User user = (User) principalCollection.getPrimaryPrincipal();//得到唯一的安全数据
//2.根据用户数据获取用户的权限信息（所有角色，所有权限）
Set<String> roles = new HashSet<>();//所有角色
Set<String> perms = new HashSet<>();//所有权限
for (Role role : user.getRoles()) {
roles.add(role.getName());
for (Permission perm : role.getPermissions()) {
perms.add(perm.getCode());
}
}
SimpleAuthorizationInfo info = new SimpleAuthorizationInfo();
info.setStringPermissions(perms);
info.setRoles(roles);
return info;
}
/**
* 认证方法
* 参数：传递的用户名密码
*/
protected AuthenticationInfo doGetAuthenticationInfo(AuthenticationToken authenticationToken) throws AuthenticationException {
//1.获取登录的用户名密码（token）
UsernamePasswordToken upToken = (UsernamePasswordToken) authenticationToken;
String username = upToken.getUsername();//用户录入的账号
//2.根据用户名查询数据库
//MyBatis情景下:user对象中包含ID，name，pwd(匿名)
//JPA情景下:user对象中包含ID，name，pwd(匿名)，set<角色>，set<权限>
User user = userService.findByName(username);
//3.判断用户是否存在或者密码是否一致
if (user != null) {
//4.如果一致返回安全数据
//构造方法：安全数据，密码(匿名)，混淆字符串(salt),realm域名
SimpleAuthenticationInfo info = new SimpleAuthenticationInfo(user, user.getPassword(), ByteSource.Util.bytes(user.getSalt()), this.getName());
return info;
}
//5.不一致，返回null（抛出异常）
return null;
}
/**
* @param
* @return bean标签 init-method属性
* @Description 自定义密码比较器
*/
@PostConstruct
public void initCredentialsMatcher() {
//指定密码算法
HashedCredentialsMatcher hashedCredentialsMatcher = new HashedCredentialsMatcher(DigestsUtil.SHA1);
//指定迭代次数
hashedCredentialsMatcher.setHashIterations(DigestsUtil.COUNTS);
//生效密码比较器
setCredentialsMatcher(hashedCredentialsMatcher);
}
}
为需要权限的接口加上注解
@PostMApping("/findPage")
@RequiresPermissions("group-find")//需要group-find权限访问
public PageResult findPage(@RequestBody QueryPageBean queryPageBean) {
PageResult pageResult = checkGroupService.pageQuery(queryPageBean);
return pageResult;
}
springSecurity
【1】什么是springSecurity
Spring Security是一个能够为基于Spring的企业应用系统提供声明式的安全访问控制解决方案的安全框架。它提供了一组可以在Spring应用上下文中配置的Bean，充分利用了Spring IoC，DI（控制反转Inversion of Control ,DI:Dependency Injection 依赖注入）和AOP（面向切面编程）功能，为应用系统提供声明式的安全访问控制功能，减少了为企业系统安全控制编写大量重复代码的工作。
【2】springSecurity的特点
1、与Spring无缝整合
2、全面的权限控制
3、专门为web开发而设计
- 旧版本不能脱离Web环境使用
- 新版本对整个框架进行了分层抽取，分成了核心模块和Web模块。单独引入核心模块就可以脱离Web环境
4、重量级
【3】springSecurity核心功能
- 认证
- 授权
- 攻击防护 （防止伪造身份）
其核心就是一组过滤器链，项目启动后将会自动配置。核心的就是 Basic Authentication Filter 用来认证用户的身份，一个在spring security中一种过滤器处理一种认证方式。
【4】springSecurity示例代码
坐标
<dependency>
<groupId>org.springframework.boot</groupId>
<artifactId>spring-boot-starter-security</artifactId>
</dependency>
启动类上加注解
@SpringBootApplication
@EnableTransactionManagement
@ServletComponentScan
@EnableScheduling
@EnableGlobalMethodSecurity(securedEnabled = true,prePostEnabled = true)//开启springSecurity支持
public class TakeOutApplication {
public static void main(String[] args) {
SpringApplication.run(TakeOutApplication.class, args);
}
}
给需要权限的接口添加注解
@GetMapping("/page")
@PreAuthorize("hasAuthority('user-find')")
public Result<Page> page(int page, int pageSize, String name) {
//控制层代码
//......
return null;
}
配置类
/**
* @version 1.0
* @Author Harris
* @since 2022/8/18
*/
@Configuration
public class SecurityConfig extends WebSecurityConfigurerAdapter {
@Bean
public PasswordEncoder passwordEncoder() {
return new BCryptPasswordEncoder();
}
@Override
protected void configure(HttpSecurity http) throws Exception {
http.csrf().disable()
.authorizeRequests() //所有请求
.antMatchers("/employee/**").authenticated() //所有/employee/**的请求必须认证通过
.anyRequest().permitAll()
.and()
.exceptionHandling()
.accessDeniedHandler(new MyAccessFail())
.authenticationEntryPoint((request, response, ex) -> {
PrintWriter out = response.getWriter();
out.println("NoLogin"); //自定义未登录跳转（前后端分离）
})
.and()
.formLogin() //允许表单登录
.loginProcessingUrl("/login")
.successForwardUrl("/employee/login-success"); //自定义登录成功的页面地址
}
}
认证接口
/**
* @version 1.0
* @Author Harris
* @since 2022/8/26
*/
@Component
public class SpringDataUserDetailsService implements UserDetailsService {
@Autowired
private EmployeeService employeeService;
@Override
public UserDetails loadUserByUsername(String username) throws UsernameNotFoundException {
//1.根据页面提交的用户名username查询数据库
User byName = employeeService.findByName(username);
if (byName == null) {
return null;
}
//获取权限
List<String> permissions = employeeService.findPermissionsByUserId(String.valueOf(byName.getId()));
String[] perarray = new String[permissions.size()];
permissions.toArray(perarray);
UserDetails userDetails = org.springframework.security.core.userdetails.User
.withUsername(byName.getName())
.password(byName.getPassword())
.authorities(perarray)
.build();
return userDetails;
}
}
总结
Shiro特点
- 内置的基于 POJO 企业会话管理，适用于 Web 以及非 Web 的环境；
- 异构客户端会话访问；
- 非常简单的加密 API；
- 不跟任何的框架或者容器捆绑，可以独立运行。
Spring Security特点
- 不能脱离Spring；
- spring-security对spring结合较好，项目是spring-boot等搭建的，使用起来更加方便；
- 有更好的spring社区进行支持；
- 支持oauth授权。
相同点
- 认证功能
- 授权功能
- 加密功能
- 会话管理
- 缓存支持
不同点
- Spring Security是一个重量级的安全管理框架；Shiro则是一个轻量级的安全管理框架
- Spring Security 基于Spring开发，项目若使用Spring作为基础，配合Spring Security 做权限更便捷，而Shiro需要和Spring 进行整合开发；
- Spring Security 功能比Shiro更加丰富些，例如安全维护方面；
- Spring Security 社区资源相对于Shiro更加丰富；
- Shiro 的配置和使用比较简单，Spring Security 上手复杂些；
- Shiro 依赖性低，不需要任何框架和容器，可以独立运行， Spring Security依赖Spring容器；
- Shiro 不仅仅可以使用在web中，它可以工作在任何应用环境中。在集群会话时Shiro最重要的一个好处或许就是它的会话是独立于容器的；
