shiro登录认证 与授权
shiro配置文件
<!-- 以下都是Apache安全框架Shiro的配置 -->
<!-- 数据库保存的密码是使用MD5算法加密的，所以这里需要配置一个密码匹配对象 -->
<bean id="credentialsMatcher" class="org.apache.shiro.authc.credential.Md5CredentialsMatcher"></bean>
<!-- 缓存管理 ,第一次 会去数据库中取权限，后面就从缓存中取 -->
<bean id="shiroCacheManager" class="org.apache.shiro.cache.MemoryConstrainedCacheManager"></bean>
<!-- 自定义realm -->
<bean id="customRealm" class="com.ecenter.sso.security.CustomRealm">
<!-- 将凭证匹配器设置到realm中，realm按照凭证匹配器的要求进行散列 -->
<property name="credentialsMatcher" ref="credentialsMatcher" />
</bean>
<!-- Shiro安全管理器 -->
<bean id="securityManager" class="org.apache.shiro.web.mgt.DefaultWebSecurityManager">
<property name="realm" ref="customRealm" />
<property name="cacheManager" ref="shiroCacheManager" />
<property name="sessionManager" ref="sessionManager"/>
</bean>
<aop:config proxy-target-class="true"></aop:config>
<bean class="org.apache.shiro.spring.security.interceptor.AuthorizationAttributeSourceAdvisor">
<property name="securityManager" ref="securityManager"/>
</bean>
<bean id="shiroFilter" class="org.apache.shiro.spring.web.ShiroFilterFactoryBean">
<!--Shiro的核心安全接口，这个属性是必须的-->
<property name="securityManager" ref="securityManager"></property>
<!--要求登录时的链接(登录页面地址)，非必须的属性，默认会自动寻找Web工程根目录下的"/login.jsp"页面-->
<property name="loginUrl" value="/login"></property>
<!--登录成功后要跳转的连接(本例中此属性用不到，因为登录成功后的处理逻辑在LoginController里硬编码)-->
<!--<property name="successUrl" value="/"></property>-->
<!--用户访问未对其授权的资源时，所显示的连接-->
<property name="unauthorizedUrl" value="/noPower.jsp"></property>
<property name="filterChainDefinitions">
<value>
/checkCode/getCodeImage=anon
/login=anon
/userInfo/edit=anon
/userInfo/password=anon
/userInfo/passwordChange=anon
/doLogin=anon
/lib/**=anon
/**=authc
</value>
</property>
</bean>
前端登录请求
$.ajax({ type : "POST", url : "/doLogin", data : $('#form').serialize(), error : function(request) { alert("操作失败!"); }, success : function(data) { if (data == '200') { if ($('#remember-password').attr('checked')) { var cookie = new rememberPassword(); cookie.cookieRemeber(); } window.location.href = "/index"; } else if (data == '500') { $('#password').val(''); $('#checkCode').val(''); $('#checkCode').attr('placeholder',''); changeImg(); $('#password').attr('placeholder','用户名或密码不正确'); $('#password').focus(); } else if (data == '401') { $('#checkCode').val(''); $('#checkCode').attr('placeholder','验证码不正确'); changeImg(); }else if(data == '501'){ layui.use(['laypage', 'layer'], function(){ var laypage = layui.laypage ,layer = layui.layer; layer.open({ type: 2, //类型，解析url closeBtn: 1, //关闭按钮是否显示 1显示0不显示 title: '密码修改', //页面标题 shadeClose: true, //点击遮罩区域是否关闭页面 shade: 0.3, //遮罩透明度 area: ['650px', '300px'], //弹出层页面比例 content: '/userInfo/password' //弹出层的url }); }); }else { if(data == '10'){ $('#username').val(''); $('#checkCode').val(''); $('#password').val(''); $('#username').attr('placeholder','用户已删除，无法登陆'); }else if(data == '11'){ $('#username').val(''); $('#checkCode').val(''); $('#password').val(''); $('#username').attr('placeholder','用户暂未通过审核'); }else if(data == '12'){ $('#username').val(''); $('#checkCode').val(''); $('#password').val(''); $('#username').attr('placeholder','用户未能通过审核'); }else if(data == '14'){ $('#username').val(''); $('#checkCode').val(''); $('#password').val(''); $('#username').attr('placeholder','用户已被禁用'); }else if(data == '3'){ $('#username').val(''); $('#checkCode').val(''); $('#password').val(''); $('#username').attr('placeholder','用户已被禁用'); } } } });
后端登录接口 /dologin
@RequestMapping("/doLogin")
@ResponseBody
public String doLogin(HttpServletRequest request,
HttpServletResponse response,
@RequestParam("username") String username,
@RequestParam("password") String password,
@RequestParam("checkCode") String checkCode) {
if (!checkCode.equalsIgnoreCase((String) request.getSession().getAttribute("code"))) {
return Constant.RES_CHECKCODE_ERROR; // 验证码不正确
}
UsernamePasswordToken token = new UsernamePasswordToken(username,password, true);
Subject subject = SecurityUtils.getSubject();
try {
subject.login(token);
List<Session> loginedList = getLoginedSession(subject);
for (Session session : loginedList) {
session.stop();
}
Session session = subject.getSession();
if (subject.isAuthenticated()) {
Map<String, Object> claims = new HashMap<String, Object>();
User user = iUserService.findByUsername(username);
claims.put("username", username);
claims.put("usertype", user.getUsertype());
claims.put("areaCode", user.getAreacode());
if("123456".equals(password)){
session.setAttribute("username", username);
return Constant.PASSWORD_EASY;//密码太简单
}
// 验证成功后 使用JWT生成加密的token
String JWT = JavaWebToken.createJavaWebToken(claims);
session.setAttribute("Authorization", JWT);
session.setAttribute("areaCode", user.getAreacode());
session.setAttribute("usersession", user);
return Constant.RES_SUCCESS;
} else {
return Constant.RES_FAIL;
}
} catch (IncorrectCredentialsException e) {// 登录密码错误
return Constant.RES_FAIL;
} catch (ExcessiveAttemptsException e) { // 登录失败次数过多
return Constant.RES_FAIL;
} catch (UnknownAccountException e) { // 帐号不存在
return Constant.RES_FAIL;
}
}
subject.login(token);源码追踪
自定义的 Realm 对象
package com.ecenter.sso.security; public class CustomRealm extends AuthorizingRealm { @Autowired private IUserService iUserService; @Autowired(required=true) private SessionDAO sessionDAO; //认证 @Override protected AuthenticationInfo doGetAuthenticationInfo(AuthenticationToken token) throws AuthenticationException { // token中包含用户输入的用户名和密码 // 第一步从token中取出用户名 String userName = (String) token.getPrincipal(); // 第二步：根据用户输入的userCode从数据库查询 User user = iUserService.findByUsername((String) token.getPrincipal()); // 如果查询不到返回null if (user == null) {// return null; } // 获取数据库中的密码 String password = user.getPassword(); //认证的用户,正确的密码 AuthenticationInfo authcInfo = new SimpleAuthenticationInfo(userName, password, this.getName()); Session currentSession = null; Collection<Session> sessions = sessionDAO.getActiveSessions(); /* for(Session session:sessions){ if(userName.equals(String.valueOf(session.getAttribute(DefaultSubjectContext.PRINCIPALS_SESSION_KEY)))) { //session.setTimeout(0);//设置session立即失效，即将其踢出系统 session.stop(); break; } }*/ return authcInfo; } /** * 授权,只有成功通过<span style="font-family: Arial, Helvetica, sans-serif;"> * doGetAuthenticationInfo方法的认证后才会执行。</span> */ @Override protected AuthorizationInfo doGetAuthorizationInfo(PrincipalCollection principals) { // 从 principals获取主身份信息 // 将getPrimaryPrincipal方法返回值转为真实身份类型（在上边的doGetAuthenticationInfo认证通过填充到SimpleAuthenticationInfo中身份类型）， String username = (String) principals.getPrimaryPrincipal(); // 根据身份信息获取权限信息 // 从数据库获取到权限数据 // 单独定一个集合对象 ArrayList<String> permissions = (ArrayList<String>) iUserService.getUserPermission(username); // 查到权限数据，返回授权信息(要包括 上边的permissions) SimpleAuthorizationInfo simpleAuthorizationInfo = new SimpleAuthorizationInfo(); // 将上边查询到授权信息填充到simpleAuthorizationInfo对象中 simpleAuthorizationInfo.addStringPermissions(permissions); return simpleAuthorizationInfo; } // 清除缓存 public void clearCached() { PrincipalCollection principals = SecurityUtils.getSubject().getPrincipals(); super.clearCache(principals); } }
