您的位置:首页 > 编程语言 > Java开发

使用shiro保护你的springboot应用

2018-01-06 21:10 134 查看

项目简介

 

springboot中使用shiro大都是通过shiro-spring.jar进行的整合的,虽然不是太复杂,但是也无法做到spring-boot-starter风格的开箱即用。
项目中经常用到的功能比如:验证码、密码错误次数限制、账号唯一用户登陆、动态URL过滤规则、无状态鉴权等等,shiro还没有直接提供支持。
jsets-shiro-spring-boot-starter对这些常用的功能进行了封装和自动导入,少量的配置就可以应用在项目中。
1、项目地址:jsets-shiro-spring-boot-starter
2、使用说明:使用说明
3、示例应用:jsets-shiro-demo
如果您对这个组件感兴趣请star收藏,在使用这个组件中有任何问题或意见都可以在这里交流,欢迎提交代码。

已完成功能

1、spring-boot-starter风格的开箱即用。
2、区分ajax请求和普通请求,普通请求通过跳转来响应未登陆和未授权,AJAX请求通过状态码和消息响应未登陆和未授权。
3、集成jcaptcha验证码。
4、密码输入错误,重试次数限制。
5、账号唯一用户登陆,一个账号只允许一个用户登陆。
6、redis缓存(单机、分布式)支持,认证\授权数据缓存同步。
7、动态URL过滤规则。
8、无状态认证授权支持,共存有状态和无状态两种鉴权方式,无状态鉴权支持JWT(JSON WEB TOKEN)、HMAC(哈希消息认证码)两种协议。
9、在线session管理,强制用户下线功能。

后续计划功能

1、cas单点登陆集成
2、oauth2.0支持

 

快速体验

1、pom.xml中添加:

<dependency>
<groupId>org.jsets</groupId>
<artifactId>jsets-shiro-spring-boot-starter</artifactId>
<version>0.0.1</version>
</dependency>

2、application.properties添加下面配置:

###jsets-shiro配置
#登陆页面
jsets.shiro.login-url=/login
#登陆成功页面
jsets.shiro.login-success-url=/index
#忽略拦截的URL,静态资源
jsets.shiro.filte-rules[0]=/assets/**-->anon
#登陆
jsets.shiro.filte-rules[1]=/login/**-->authc
#退出
jsets.shiro.filte-rules[2]=/logout/**-->logout
#所有路径,断言session中存在用户
jsets.shiro.filte-rules[3]=/**-->user

3、创建Controller类IndexAction.java:

@Controller
public class IndexAction {
@RequestMapping("/")
public String def() {
return "index";
}
@RequestMapping("/index")
public String index() {
return "index";
}
@RequestMapping("/login")
public String login() {
return "login";
}
}
[/code]

4、创建登陆页面login.html:

<form class="login-form" action="${ctx}/login" method="post">
<div class="form-item">
用户名:<input type="text" name="username" />
</div>
<div class="form-item">
密码:<input type="password" name="password" />
</div>
<div class="form-item">
<button type="submit">登录</button>
</div>
</form>
<!-- 认证信息 -->
<font color="red">${Request["shiro_auth_message"]!}</font>
[/code]

5、创建主页index.html:

<div class="body">
欢迎您:${Session.shiro_current_user.account!}
<br>
退出:<a href="${ctx}/logout">退了</a>
</div>

6、启用jsets-shiro-spring-boot-starter:

@SpringBootApplication
@EnableJsetsShiro
public class Application{
public static void main(String[] args) {
SpringApplication.run(Application.class, args);
}
}
[/code]

启动springboot应用,控制台会打印出组件预置的体验账号和密码:


 

使用这个账号和密码就可以登陆系统了。

 

鉴权要素

鉴:认证(Authentication)即证明您是账号表示的那个人,基于form的认证中使用口令(密码),rest api认证中使用令牌(token)。
权:权限验证(Authorization)即根据一个判断规则来验证您是否能执行一个操作。

认证的过程需要账号数据,这个数据至少包含三个元素:账号(用户名)、密码、账号是否可用。
jsets-shiro-spring-boot-starter中使用Account接口表示账号数据、使用ShiroAccountProvider接口为鉴权操作提供Account数据,数据来源不限比如可以从数据库、文件、LDAP、远程服务等各种方式加载。

权限验证的过程需要权限数据和规则数据,权限泛指能否操作资源,角色是权限的集合,如果使用权限来表示一个用户能操作的资源显然不方便,所以大部分系统的安全模型都是基于RBAC(Role-Based Access Control 基于角色的权限访问控制)的。jsets-shiro-spring-boot-starter同样使用ShiroAccountProvider接口为鉴权操作提供权限(角色)数据,数据来源不限。

具体参见"使用说明--接入用户数据"一章。

规则数据,如果没有规则就不存在判断,权限验证也就无从谈起,在shiro中规则表示成这样:

article/update=roles[role_editor]
article/delete=roles[role_chief]
article/publish=roles[role_chief]
[/code]

"article/update"就是操作的资源,"roles[role_editor]"是判断标准,表示用户的角色列表中包含"role_editor"角色,操作加上判断标准就是规则。jsets-shiro-spring-boot-starter中您可以在application.properties中配置这样的规则。也可以通过shiro的AOP方式配置规则,类似于这样:

@RequiresRoles("role_editor")
public void update(Article article){
}
[/code]

这两种方式是有局限的,比如角色-资源的对应关系发生变更,比如新增了一种角色,那就只能修改配置或者代码然后重启动系统才能使得这些变更生效。实际开发中则更希望通数据库查询出角色-资源的对应数据,动态生成URL规则,当角色-资源的对应关系发生变更时能刷新并立即用户这些规则。

您可以通过ShiroFilteRulesProvider接口为鉴权操作提供规则数据,并且支持实时刷新应用这些规则。

具体参见"使用说明--动态URL过滤"一章。

 

无状态鉴权

无状态(Stateless)鉴权通常应用在微服务(REST API)架构中,使用数字摘要(签名)技术生成一个token作为认证和授权的凭证,整个认证和授权过程不依赖于cookie或session,服务端不保留客户端状态因此每次请求都要携带这个token。

jsets-shiro-spring-boot-starter提供两种无状态鉴权方式,分别是散列消息认证码(HMAC)、JSON WEB TOKEN(JWT)。

HMAC适合端到端的鉴权,即客户端拿着签名让服务端进行验签。
JWT适合客户端询问系统B是否有权访问系统C和系统N如果有请开份凭证,然后拿着凭证让系统C和系统N进行验签。

JWT是自包含的,令牌中携带访问主张(角色或权限),所以JWT鉴权不需要查询数据。HMAC鉴权则需要查询数据库获取角色或权限数据。HMAC和JWT鉴权过程均不产生session。

如果您的系统即有状态鉴权(即基于FORM的登陆认证)又有无状态鉴权(即提供rest接口),毕竟不是所有的系统都做了服务化拆分的,默认情况下HMAC也是使用ShiroAccountProvider接口为鉴权操作提供身份认证和权限验证数据,和有状态鉴权公用一套数据。如您想拆分它们,即HMAC使用自己的鉴权数据,可以使用ShiroStatelessAccountProvider为无状态鉴权提供数据。

具体参见"使用说明--无状态鉴权"一章。

 

组件扩展

JsetsShiroConfigurationAdapter是shiro配置的适配器,通过它您可以定制Realm、filter、SessionDAO、CacheManager等。

 

示例展示

jsets-shiro-demo是jsets-shiro-spring-boot-starter是应用示例,做的不是很精细,主要为了演示功能实现。

主界面:


 

验证码:


 
 

用户被踢出:

 

密码输入错误重试次数限制:


 

角色列表:


 

权限拦截:

 

资源分配:

 

权限验证通过:

 

HMAC验签通过:


 

HMAC签名失效:


 

HMAC签名无效:


 

JWT权限验证失败:


 

JWT需要身份认证:


 

在线用户列表:


 

强制用户下线:


 

更多功能和特性请参见jsets-shiro-spring-boot-starter源码和使用说明。

内容来自用户分享和网络整理,不保证内容的准确性,如有侵权内容,可联系管理员处理 点击这里给我发消息
标签: