shiro与springSecurity

本文章介绍市面上常用的两大安全框架shiro与springSecurity;

shiro

【1】什么是Shiro

Shiro是apache旗下一个开源框架,它将软件系统的安全认证相关的功能抽取出来,实现用户身份 认证,权限授权、加密、会话管理等功能,组成了一个通用的安全认证框架。

【2】Shiro 的特点

        Shiro 是一个强大而灵活的开源安全框架,能够非常清晰的处理认证、授权、管理会话以及密码加密。如下是它所具有的特点:
        易于理解的 Java Security API;
        简单的身份认证(登录),支持多种数据源(LDAP,JDBC 等);
        对角色的简单的签权(访问控制),也支持细粒度的鉴权;
        支持一级缓存,以提升应用程序的性能;
        内置的基于 POJO 企业会话管理,适用于 Web 以及非 Web 的环境;
        异构客户端会话访问;
        非常简单的加密 API;
        不跟任何的框架或者容器捆绑,可以独立运行。

【2】Shiro 的核心组件

shiro与springSecurity

Subject

Subject主体,外部应用与subject进行交互,subject将用户作为当前操作的主体,这个主体:可以是一 个通过浏览器请求的用户,也可能是一个运行的程序。Subject在shiro中是一个接口,接口中定义了很多认证授相关的方法,外部程序通过subject进行认证授,而subject是通过SecurityManager安全管理器进行认证授权

SecurityManager

SecurityManager权限管理器,它是shiro的核心,负责对所有的subject进行安全管理。通过 SecurityManager可以完成subject的认证、授权等,SecurityManager是通过Authenticator进行认 证,通过Authorizer进行授权,通过SessionManager进行会话管理等。SecurityManager是一个接 口,继承了Authenticator, Authorizer, SessionManager这三个接口

Authenticator

Authenticator即认证器,对用户登录时进行身份认证

Authorizer

Authorizer授权器,用户通过认证器认证通过,在访问功能时需要通过授权器判断用户是否有此功能的操作 权限。

Realm(数据库读取+认证功能+授权功能实现)

Realm领域,相当于datasource数据源,securityManager进行安全认证需要通过Realm获取用户权限数据

SessionManager

SessionManager会话管理,shiro框架定义了一套会话管理,它不依赖web容器的session,所以shiro 可以使用在非web应用上,也可以将分布式应用的会话集中在一点管理,此特性可使它实现单点登录。

SessionDAO

SessionDAO即会话dao,是对session会话操作的一套接

CacheManager

CacheManager缓存管理,将用户权限数据存储在缓存,这样可以提高性能

Cryptography

Cryptography密码管理,shiro提供了一套加密/解密的组件,方便开发。比如提供常用的散列、加/解密等 功能

【3】Shiro认证的基本流程

流程如下:

1、Shiro把用户的数据封装成标识token,token一般封装着用户名,密码等信息

2、使用Subject门面获取到封装着用户的数据的标识token SessionManager会话管理,shiro框架定义了一套会话管理,它不依赖web容器的session,所以shiro 可以使用在非web应用上,也可以将分布式应用的会话集中在一点管理,此特性可使它实现单点登录。 SessionDAO即会话dao,是对session会话操作的一套接口 比如: 可以通过jdbc将会话存储到数据库 也可以把session存储到缓存服务器 CacheManager缓存管理,将用户权限数据存储在缓存,这样可以提高性能 Cryptography密码管理,shiro提供了一套加密/解密的组件,方便开发。比如提供常用的散列、加/解密等功能

3、Subject把标识token交给SecurityManager,在SecurityManager安全中心中,SecurityManager 把标识token委托给认证器Authenticator进行身份验证。认证器的作用一般是用来指定如何验证,它规定本次认证用到哪些Realm

4、认证器Authenticator将传入的标识token,与数据源Realm对比,验证token是否合法

【5】shiro身份授权的基本流程

shiro与springSecurity

流程如下:

1、首先调用Permitted/hasRole接口,其会委托给SecurityManager。

2、SecurityManager接着会委托给内部组件Authorizer;

3、Authorizer再将其请求委托给我们的Realm去做;Realm才是真正干活的;

4、Realm将用户请求的参数封装成权限对象。再从我们重写的doGetAuthorizationInfo方法中获取从 数据库中查询到的权限集合。

5、Realm将用户传入的权限对象,与从数据库中查出来的权限对象,进行一一对比。如果用户传入的 权限对象在从数据库中查出来的权限对象中,则返回true,否则返回false。 进行授权操作的前提:用户必须通过认证。

【6】shiro示例代码

坐标



    iro
    shiro-spring
    1.3.2




    iro
    shiro-core
    1.3.2

配置文件:

@Configuration
public class ShiroConfig {

    //1.创建realm
    @Bean
    public PurviewRealm getRealm() {
        return new PurviewRealm();
    }

    //2.创建安全管理器
    @Bean
    public SecurityManager getSecurityManager(PurviewRealm realm) {
        DefaultWebSecurityManager securityManager = new DefaultWebSecurityManager();
        tRealm(realm);
        return securityManager;
    }

    //3.配置shiro的过滤器工厂再web程序中,shiro进行权限控制全部是通过一组过滤器集合进行控制
    @Bean
    public ShiroFilterFactoryBean shiroFilter(SecurityManager securityManager) {
        //1.创建过滤器工厂
        ShiroFilterFactoryBean filterFactory = new ShiroFilterFactoryBean();
        //2.设置安全管理器
        tSecurityManager(securityManager);
        //3.通用配置(跳转登录页面,为授权跳转的页面)

        tLoginUrl("/autherror");//跳转url地址

        //4.设置过滤器集合
        //key = 拦截的url地址
        //value = 过滤器类型
        Map filterMap = new LinkedHashMap<>();

        filterMap.put("/login", "anon");//当前请求地址可以匿名访问
        filterMap.put("/checkgroup/**", "authc");//当前请求地址必须认证之后可以访问
        //......

        //在过滤器工程内设置过滤器
        tFilterChainDefinitionMap(filterMap);

        return filterFactory;
    }

    /**
     * 开启aop注解支持
     *
     * @param securityManager
     * @return
     */
    @Bean
    public AuthorizationAttributeSourceAdvisor authorizationAttributeSourceAdvisor(SecurityManager securityManager) {
        AuthorizationAttributeSourceAdvisor advisor = new AuthorizationAttributeSourceAdvisor();
        tSecurityManager(securityManager);
        return advisor;
    }

    /**
     * 开启Shiro的注解(如@RequiresRoles,@RequiresPermissions)
     *
     * @return
     */
    @Bean
    public DefaultAdvisorAutoProxyCreator advisorAutoProxyCreator() {
        DefaultAdvisorAutoProxyCreator advisorAutoProxyCreator = new DefaultAdvisorAutoProxyCreator();
        tProxyTargetClass(true);
        return advisorAutoProxyCreator;
    }

}

realm

/**
 * 自定义的realm
 */
public class PurviewRealm extends AuthorizingRealm {

    public void setName(String name) {
        tName("purviewRealm");
    }

    @Autowired
    private UserService userService;

    /**
     * 授权方法
     * 操作的时候,判断用户是否具有响应的权限
     * 一定先认证再授权
     * 先认证 -- 安全数据
     * 再授权 -- 根据安全数据获取用户具有的所有操作权限
     */
    protected AuthorizationInfo doGetAuthorizationInfo(PrincipalCollection principalCollection) {
        //1.获取已认证的用户数据
        User user = (User) tPrimaryPrincipal();//得到唯一的安全数据
        //2.根据用户数据获取用户的权限信息(所有角色,所有权限)
        Set roles = new HashSet<>();//所有角色
        Set perms = new HashSet<>();//所有权限
        for (Role role : tRoles()) {
            d(tName());
            for (Permission perm : tPermissions()) {
                d(tCode());
            }
        }
        SimpleAuthorizationInfo info = new SimpleAuthorizationInfo();
        tStringPermissions(perms);
        tRoles(roles);
        return info;
    }

    /**
     * 认证方法
     * 参数:传递的用户名密码
     */
    protected AuthenticationInfo doGetAuthenticationInfo(AuthenticationToken authenticationToken) throws AuthenticationException {
        //1.获取登录的用户名密码(token)
        UsernamePasswordToken upToken = (UsernamePasswordToken) authenticationToken;
        String username = tUsername();//用户录入的账号
        //2.根据用户名查询数据库
        //mybatis情景下:user对象中包含ID,name,pwd(匿名)
        //JPA情景下:user对象中包含ID,name,pwd(匿名),set<角色>,set<权限>
        User user = ndByName(username);
        //3.判断用户是否存在或者密码是否一致
        if (user != null) {
            //4.如果一致返回安全数据
            //构造方法:安全数据,密码(匿名),混淆字符串(salt),realm域名
            SimpleAuthenticationInfo info = new SimpleAuthenticationInfo(user, tPassword(), tes(tSalt()), tName());
            return info;
        }
        //5.不一致,返回null(抛出异常)
        return null;
    }

    /**
     * @param
     * @return bean标签 init-method属性
     * @Description 自定义密码比较器
     */
    @PostConstruct
    public void initCredentialsMatcher() {
        //指定密码算法
        HashedCredentialsMatcher hashedCredentialsMatcher = new HashedCredentialsMatcher(A1);
        //指定迭代次数
        tHashIterations(UNTS);
        //生效密码比较器
        setCredentialsMatcher(hashedCredentialsMatcher);
    }

}

为需要权限的接口加上注解

@PostMapping("/findPage")
    @RequiresPermissions("group-find")//需要group-find权限访问
    public PageResult findPage(@RequestBody QueryPageBean queryPageBean) {
        PageResult pageResult = Query(queryPageBean);
        return pageResult;
    }

springSecurity

【1】什么是springSecurity

Spring Security是一个能够为基于Spring的企业应用系统提供声明式的安全访问控制解决方案的安全框架。它提供了一组可以在Spring应用上下文中配置的Bean,充分利用了Spring IoC,DI(控制反转Inversion of Control ,DI:Dependency Injection 依赖注入)和AOP(面向切面编程)功能,为应用系统提供声明式的安全访问控制功能,减少了为企业系统安全控制编写大量重复代码的工作。

【2】springSecurity的特点

1、与Spring无缝整合

2、全面的权限控制

3、专门为web开发而设计

  • 旧版本不能脱离Web环境使用
  • 新版本对整个框架进行了分层抽取,分成了核心模块和Web模块。单独引入核心模块就可以脱离Web环境

4、重量级

【3】springSecurity核心功能

  • 认证
  • 授权
  • 攻击防护 (防止伪造身份)

其核心就是一组过滤器链,项目启动后将会自动配置。核心的就是 Basic Authentication Filter 用来认证用户的身份,一个在spring security中一种过滤器处理一种认证方式。

shiro与springSecurity

【4】springSecurity示例代码

坐标


    t
    spring-boot-starter-security

启动类上加注解

@SpringBootApplication
@EnableTransactionManagement
@ServletComponentScan
@EnableScheduling
@EnableGlobalMethodSecurity(securedEnabled = true,prePostEnabled = true)//开启springSecurity支持
public class TakeOutApplication {

    public static void main(String[] args) {
        (ass, args);
    }

}

给需要权限的接口添加注解

@GetMapping("/page")
@PreAuthorize("hasAuthority('user-find')")
public Result page(int page, int pageSize, String name) {
    //控制层代码
    //......
    return null;
}

配置类

/**
 * @version 1.0
 * @Author Harris
 * @since 2022/8/18
 */
@Configuration
public class SecurityConfig extends WebSecurityConfigurerAdapter {

    @Bean
    public PasswordEncoder passwordEncoder() {
        return new BCryptPasswordEncoder();
    }

    @Override
    protected void configure(HttpSecurity http) throws Exception {

        http.csrf().disable()
                .authorizeRequests()                                       //所有请求
                .antMatchers("/employee/**").authenticated()   //所有/employee/**的请求必须认证通过
                .anyRequest().permitAll()                                 
                .and()
                .exceptionHandling()
                .accessDeniedHandler(new MyAccessFail())
                .authenticationEntryPoint((request, response, ex) -> {
                    PrintWriter out = tWriter();
                    intln("NoLogin");                                //自定义未登录跳转(前后端分离)
                })
                .and()
                .formLogin()                                               //允许表单登录
                .loginProcessingUrl("/login")
                .successForwardUrl("/employee/login-success");            //自定义登录成功的页面地址

    }
}

认证接口

/**
 * @version 1.0
 * @Author Harris
 * @since 2022/8/26
 */
@Component
public class SpringDataUserDetailsService implements UserDetailsService {

    @Autowired
    private EmployeeService employeeService;

    @Override
    public UserDetails loadUserByUsername(String username) throws UsernameNotFoundException {
        //1.根据页面提交的用户名username查询数据库
        User byName = ndByName(username);
        if (byName == null) {
            return null;
        }

        //获取权限
        List permissions = ndPermissionsByUserId(lueOf(tId()));
        String[] perarray = new String[ze()];
        Array(perarray);

        UserDetails userDetails = er
                .withUsername(tName())
                .password(tPassword())
                .authorities(perarray)
                .build();
        return userDetails;

    }
}

总结

Shiro特点

  • 内置的基于 POJO 企业会话管理,适用于 Web 以及非 Web 的环境;
  • 异构客户端会话访问;
  • 非常简单的加密 API;
  • 不跟任何的框架或者容器捆绑,可以独立运行。

Spring Security特点

  • 不能脱离Spring;
  • spring-security对spring结合较好,项目是spring-boot等搭建的,使用起来更加方便;
  • 有更好的spring社区进行支持;
  • 支持oauth授权。

相同点

  • 认证功能
  • 授权功能
  • 加密功能
  • 会话管理
  • 缓存支持

不同点

  • Spring Security是一个重量级的安全管理框架;Shiro则是一个轻量级的安全管理框架
  • Spring Security 基于Spring开发,项目若使用Spring作为基础,配合Spring Security 做权限更便捷,而Shiro需要和Spring 进行整合开发;
  • Spring Security 功能比Shiro更加丰富些,例如安全维护方面;
  • Spring Security 社区资源相对于Shiro更加丰富;
  • Shiro 的配置和使用比较简单,Spring Security 上手复杂些;
  • Shiro 依赖性低,不需要任何框架和容器,可以独立运行, Spring Security依赖Spring容器;
  • Shiro 不仅仅可以使用在web中,它可以工作在任何应用环境中。在集群会话时Shiro最重要的一个好处或许就是它的会话是独立于容器的;

https://www.xianxiaba.com/kejitongxun/31855586.html

本站所有信息均由爬虫抓取,用于机器学习,如有发现包括但不限于“违法、违规信息、侵权信息”,请联系站长删除处理。