10分钟教会你简单的使用Shiro

admin

前言

欢迎来到Apache Shiro 10分钟之旅！

8 A& ~) }3 ~3 G* I6 L4 H希望通过这个简单、快速的示例，可以让你对应用程序中使用Shiro有个深入的了解。嗯，10分钟你应该可以搞定它。
% b& f  E8 S+ i9 E
; w$ l/ e& L0 p概述
/ L# _7 k, _: H, [$ D
Apache Shiro是什么？
# [' `& F, @' t" g9 J
Apache Shiro一个功能强大，使用简单的java安全框架，它为开发人员提供一个直观而全面的认证，授权，加密及会话管理的解决方案。

: u/ `; L/ `/ ~3 `% a实际上，Shiro的主要功能是管理应用程序中与安全相关的全部，同时尽可能支持多种实现方法。Shiro是建立在完善的接口驱动设计和面向对象原则之上的，支持各种自定义行为。Shiro提供的默认实现，使其能完成与其他安全框架同样的功能，这不也是我们一直努力想要得到的吗！

那么Apache Shiro能用来做什么呢？

/ L% `- X1 z; a+ S; w, Z很多，很多，嘿嘿。但是不在快速指南中做介绍，如果你想知道，那怎么办呢？去这里找寻你的答案吧。当然如果你还想知道我们什么时候，以及为什么要"创造"Shiro，去看看Shrio的历史和使命吧。
5 H/ W9 R  W) q( u( n
OK，现在让我们动手做点儿什么吧。

注：Shiro可以在任何环境下运行，小到最简单的命令行应用，大到大型的企业应用以及集群应用。但是我们准备在快速指南中使用最最简单的main方法的方式，让你对Shiro的API有个感官的认识。
6 T; W5 e; N+ I# {6 O, {
下载

6 H- M* X- M1 K3 {& s9 K% m, Z1 O确保已经安装了JDK1.5+和Maven2.2+
去这里下载最新已发布的源码。例子中我们使用1.1.0发布版本。
# E6 D! ^+ w6 y解压源代码
进入快速指南文件夹
cd shiro-root-1.1.0/samples/quickstart
. Q7 c9 U0 V3 o2 `( m7 _+ y
/ B  g5 A7 i+ z. E- A! |0 W1 K7 |运行快速指南
mvn compile exec:java

7 [2 _  L, ]! m6 a" R, O过程中会输出日志信息，用来告诉你正在进行的是什么，最后退出执行。可以在这里"samples/quickstart/src/main/java/Quickstart.java "找到源码，也可以进行修改，记得修改后运行"mvn compile exec:java "即可。
9 T7 B& k1 O- o! |& D. X
Quickstart.java

7 _4 W, W0 V- v8 h  ~. f5 DQuickstart.java中包含刚刚我们提到的所有内容(认证、授权等等)，通过这个简单的示例可以让你轻松的熟悉Shiro的API。那么，让我们把Quickstart.java中的代码，一点一点剖析，这样便于理解它们的作用。 几乎所有的环境下，都可以通过这种方式获取当前用户：

. Y% {+ ^8 E$ @" z! u3 QSubject currentUser = SecurityUtils.getSubject();
* Q6 }6 k$ F2 R# W
: I7 e7 u2 w  _通过SecurityUtils.getSubject()，就可以获取当前Subject。Subject是应用中用户的一个特定安全的缩影，虽然感觉上直接使用User会更贴切，但是实际上它的意义远远超过了User。而且每个应用程序都会有自己的用户以及框架，我们可不想和它们混淆在一起，况且Subject就是安全领域公认的名词。OK，我们继续。
9 h) W) Q- d# m: V2 k. y
  X9 d9 H  H# J: a+ J0 o在单应用系统中，调用getSubject()会返回一个Subject，它是位于应用程序中特定位置的用户信息；在服务器中运行的情况下(比如web应用)，getSubject会返回一个位于当前线程或请求中的用户信息。 现在你已经得到了Subject对象，那么用它可以做什么呢？

如果你想得到应用中用户当前Session的其他参数，可以这样获取Session对象：
1 ?5 L+ _- u0 C
. f# |! x6 ]0 Q8 k0 n/ n! JSession session = currentUser.getSession();
8 I8 @9 u0 }. U+ ]7 T0 g
2 P- R& z% A' }* k* K7 o. @session.setAttribute( "someKey", "aValue" );

5 t# W* ?: T9 H* |& C这个Session对象是Shiro中特有的对象，它和我们经常使用的HttpSession非常相似，但还提供了额外的东西，其中与HttpSession最大的不同就是Shiro中的Session不依赖HTTP环境(换句话说，可以在非HTTP 容器下运行)。

如果将Shiro部署在web应用程序中，那么这个Session就是基于HttpSession的。但是像QuickStart示例那样，在非web环境下使用，Shiro则默认使用EnterpriseSessionManagment。也就是说，不论在应用中的任何一层使用同样的API，却不需要考虑部署环境，这一优点为应用打开一个全新的世界，因为应用中要获取Session对象再也不用依赖于HttpSession或者EJB的会话Bean。而且任何客户端技术都可以共享session 数据。

现在你可以得到当前Subject和它的Session对象。那么我们如何验证比如角色和权限这些东西呢？
' X' o6 E  {' _- l0 u) V* i
. x; C, q! P6 y1 X* {很简单，可以通过已得到的user对象进行验证。Subject对象代表当前用户，但是，谁才是当前用户呢？他们可是匿名用户啊。也就是说，必须登录才能获取到当前用户。没问题，这样就可以搞定：
# G, Q% {/ a: z" n
if ( !currentUser.isAuthenticated() ) {
! F& b: P. a" e
# M7 M9 o& N/ s3 G1 g7 D  j//collect user principals and credentials in a gui specific manner

//such as username/password html form, X509 certificate, OpenID, etc.
+ j" [7 t, a; ^5 W  _
7 m& R1 w7 K! E: T//We'll use the username/password example here since it is the most common.

//(do you know what movie this is from? ;)
1 A+ m3 l* L, l5 _
UsernamePasswordToken token = new UsernamePasswordToken("lonestarr", "vespa");
! w/ L# b- V$ B) E
$ Q3 u7 N# z  W* m//this is all you have to do to support 'remember me' (no config - built in!):

! E% b3 v7 W7 n0 p5 [0 y! Gtoken.setRememberMe(true);

# f, K. v; c  M( Q8 G3 k; {7 X9 e7 vcurrentUser.login(token);

$ |! W0 H$ [* [- S}
4 H' ?( G3 a. d2 X6 p
就是这样，太简单了吧！
; ^0 w4 ^, |$ j' ^9 E9 f
那登录失败了怎么处理呢？可以通过捕获各类异常，根据不同类型的异常做出不同的处理：
% q0 ?- G8 ?2 i0 T+ B9 [
" y8 }5 s4 f6 U( u0 q& D1 F8 mtry {
. l9 I/ \9 R* C* o
currentUser.login( token );
1 }4 i3 A! w- ]# a
//if no exception, that's it, we're done!
: H, u, M* D! z( U$ U4 C" }( y7 A
/ `1 M) i& d9 M# [9 f} catch ( UnknownAccountException uae ) {
" |4 E# _3 B2 h% f
//username wasn't in the system, show them an error message?
/ R' O# }* |$ }
7 C' }" H5 ]* _$ a* V# T: b" ]2 }} catch ( IncorrectCredentialsException ice ) {
2 M/ V' h4 K4 B) T  g. Z( ~7 u
//password didn't match, try again?
9 H/ E; `. Y+ Z6 H, p0 t
5 h4 |3 L9 w6 @* S; n& ?/ h} catch ( LockedAccountException lae ) {

6 V" M! w! R+ P$ q) m: C//account for that username is locked - can't login. Show them a message?
5 Z! u9 |3 F9 W7 C+ R) e8 f1 F
}

... more types exceptions to check if you want ...
0 i* a$ A2 e% ]0 c
* W, P3 e+ X9 u+ I5 v5 O} catch ( AuthenticationException ae ) {

//unexpected condition - error?
" f, A  T6 P; a& c- Q9 x
}
: Q+ S' v# B* z" K  x6 @8 _
可以捕获Shiro提供的各种异常，也可以抛出自定义类异常用于处理Shiro未考虑到的情况。预知详情，可以去了解AuthenticationException JavaDoc。
, y& u2 r, ^& x4 V! ~: y
提示：最安全的做法是将登录失败的消息告知用户，你总不会帮助攻击者入侵你的系统吧！

OK，现在已经拥有一个登录用户了，我们还能做点儿什么呢？

比方说，他们是谁：

//print their identifying principal (in this case, a username):

log.info( "User [" + currentUser.getPrincipal() + "] logged in successfully." );

也可以判断用户是否拥有特定的角色：
- N# f8 J+ b! W
% [3 ]& Z# m5 y" h$ M6 L6 jif ( currentUser.hasRole( "schwartz" ) ) {

9 e2 f3 ~; I5 F" @3 Mlog.info("May the Schwartz be with you!" );
6 }  p9 e; M: K1 m; X5 z, Q8 _6 l& B% f
} else {
, o$ o: Y1 r7 A' a5 \
8 j7 b: I% c8 elog.info( "Hello, mere mortal." );
% f, P" n+ M* N8 P) Y8 {/ O% b' ?
# h$ W( A3 w8 c1 [# Z  p" C. L}
: H* R9 f$ Y5 M
还可以判断用户是否对特定某实体有操作权限：
' C1 K' U0 A- W) O! k" ?
* z0 j4 z0 Z5 h' gif ( currentUser.isPermitted( "lightsaber:weild" ) ) {
2 }# k: P7 ]$ H- \  A8 O
log.info("You may use a lightsaber ring. Use it wisely.");
; @$ E8 _* S) M: e1 t
% ~, {4 [, S2 u1 E} else {

$ H' @' z1 i5 |5 l* S0 A: H' Alog.info("Sorry, lightsaber rings are for schwartz masters only.");
* ]! P' D2 N6 n, N: ?. d
% h0 G8 o0 c$ A, \) B9 q7 N}
8 P$ B: S) _  D% t; z. c
* |. z" A# Y' V( t! u当然，还可以进行功能强大的实例级别的权限验证。通过它可以判断用户是否有访问特定类型实例的权限：

if ( currentUser.isPermitted( "winnebago:drive:eagle5" ) ) {
2 i4 _( @: F& p
  ~2 p! d7 H, j% H- ]  C& w4 w( E8 Qlog.info("You are permitted to 'drive' the 'winnebago' with license plate (id) 'eagle5'. " +"Here are the keys - have fun!");
$ u, z  {/ I, b: l: U3 o
} else {

log.info("Sorry, you aren't allowed to drive the 'eagle5' winnebago!");
: C; P# q+ y3 M' j- n; M7 G
}
6 u9 k6 {: W1 ]
小菜一碟，对吧。

最后，当用户使用完毕，还可以退出应用。
' R9 e5 P8 J" P6 k9 W
currentUser.logout(); //removes all identifying information and invalidates their session too.

这些就是使用Apache Shiro开发应用的核心了，当然，Apache Shiro已将将很多复杂的东西封装在内部了，但是现在它就是这么简单。

你会有疑问吧，用户登录时，谁负责把用户信息(用户名、密码、角色、权限等)取出来，还有运行时，谁负责安全认证呢？当然由你决定了啊。通过将一个实现了Shiro中的Realm的Reaml配置到Shiro中即可。
) r3 P4 n. j- Z3 J8 n* ~, t6 [
至于如何配置很大程度上取决于你的运行时环境，比如在单应用、web应用、基于spring或JEE 容器的应用或者组合模式中使用Shiro，配置都有所不同。如何配置已经超出QuickStart示例的范围，因为它的主要目的是帮助你熟悉Shiro的API和概念。
+ T4 Z6 t: X) e" S9 p
如果想进一步了解Shiro，可以看看Authentication Guide和Authorization Guide。也可以查看其他文档(特别是Reference Manual)，这里可以解决你的各种疑问。
( _4 L, g' k) j) e- b2 T7 c4 q% T
7 e. R" Z$ G, b1 \- h+ w8 |