shiro学习笔记_0600_自定义realm实现授权

博客shiro学习笔记_0400_自定义Realm实现身份认证 介绍了认证，这里介绍授权。

1，仅仅通过配置文件来指定权限不够灵活且不方便。在实际的应用中大多数情况下都是将用户信息，角色信息，权限信息 保存到了数据库中。所以需要从数据库中去获取相关的数据信息。可以使用 shiro 提供的JdbcRealm来实现，，也可以自定义realm来实现。使用jdbcRealm往往也不够灵活。所以在实际应用中大多数情况都是自定义Realm来实现。

2，自定义Realm 需要继承 AuthorizingRealm。

例子程序：

新建maven项目：

maven依赖：

<dependency>

        <groupId>org.apache.shiro</groupId>

        <artifactId>shiro-core</artifactId>

        <version>1.3.2</version>

    </dependency>

    <dependency>

        <groupId>commons-logging</groupId>

        <artifactId>commons-logging</artifactId>

        <version>1.2</version>

    </dependency>

    <dependency>

        <groupId>log4j</groupId>

        <artifactId>log4j</artifactId>

        <version>1.2.17</version>

    </dependency>

    <dependency>

        <groupId>org.slf4j</groupId>

        <artifactId>slf4j-log4j12</artifactId>

        <version>1.7.5</version>

    </dependency>

    <dependency>

        <groupId>com.mchange</groupId>

        <artifactId>c3p0</artifactId>

        <version>0.9.5.2</version>

    </dependency>

    <dependency>

        <groupId>mysql</groupId>

        <artifactId>mysql-connector-java</artifactId>

        <version>5.1.31</version>

    </dependency>

shiro.ini配置：

[main]

userRealm=com.lhy.realm.UserRealm

securityManager.realm=$userRealm

log4j.properties：

log4j.rootLogger=info, stdout

log4j.appender.stdout=org.apache.log4j.ConsoleAppender

log4j.appender.stdout.layout=org.apache.log4j.PatternLayout

log4j.appender.stdout.layout.ConversionPattern=%d %p [%c] - %m %n

userRealm：

这里没有使用数据库，配置文件shiro.ini里不用配置[users]信息，因为这里在userRealm里的认证方法里的密码是模拟的，实际肯定会去数据库取。

package com.lhy.realm;

import java.util.ArrayList;

import java.util.List;

import org.apache.shiro.authc.AuthenticationException;

import org.apache.shiro.authc.AuthenticationInfo;

import org.apache.shiro.authc.AuthenticationToken;

import org.apache.shiro.authc.SimpleAuthenticationInfo;

import org.apache.shiro.authz.AuthorizationInfo;

import org.apache.shiro.authz.SimpleAuthorizationInfo;

import org.apache.shiro.realm.AuthorizingRealm;

import org.apache.shiro.subject.PrincipalCollection;

/**

 * 自定义Realm实现，该Realm类提供了两个方法：

 * 1，doGetAuthenticationInfo：获取认证信息

 * 2，doGetAuthorizationInfo：获取权限信息

 * @author Administrator

 *

 */

public class UserRealm extends AuthorizingRealm{

    //realm接口的方法

    @Override

    public String getName() {

        return "userRealm";

    }

    //完成身份认证并返回认证信息

    //如果身份认证失败，返回null

    @Override

    protected AuthenticationInfo doGetAuthenticationInfo(

            AuthenticationToken token) throws AuthenticationException {

        //获取用户输入的用户名

        String username = (String)token.getPrincipal();//获取身份信息

        System.out.println("username----"+username);

        //实际开发是调用service根据用户名去数据库查对应的密码

        //假设获取的密码是1111

        String password = "1111";

        //Object principal, Object credentials, String realmName

        SimpleAuthenticationInfo info = new SimpleAuthenticationInfo(username,password,getName());

        return info;

    }

    //授权的信息

    @Override

    protected AuthorizationInfo doGetAuthorizationInfo(PrincipalCollection principals) {

        //主的 身份信息

        String username = principals.getPrimaryPrincipal().toString();

        System.out.println("==========授权===========");

        System.out.println("username ---"+username);

        //根据用户名到数据库查询当前用户对应的权限信息    ---这里模拟

        List<String> permissions = new ArrayList<String>();

        permissions.add("user:add");

        permissions.add("user:delete");

        permissions.add("user:update");

        permissions.add("user:find");

        /*

         * 实现了AuthorizationInfo接口的pojo，内部存的是权限和角色

         */

        SimpleAuthorizationInfo info = new SimpleAuthorizationInfo();

        //给当前用户分配权限

        info.addStringPermissions(permissions);

        return info;

    }

}

测试程序：

package com.lhy.shiro;

import org.apache.shiro.SecurityUtils;

import org.apache.shiro.authc.AuthenticationException;

import org.apache.shiro.authc.IncorrectCredentialsException;

import org.apache.shiro.authc.UnknownAccountException;

import org.apache.shiro.authc.UsernamePasswordToken;

import org.apache.shiro.config.IniSecurityManagerFactory;

import org.apache.shiro.mgt.SecurityManager;

import org.apache.shiro.subject.Subject;

import org.apache.shiro.util.Factory;

public class userRealmDemo {

    public static void main(String[] args) {

        //1,创建SecurityManager工厂  读取shiro配置文件

        Factory<SecurityManager> factory = new IniSecurityManagerFactory("classpath:shiro.ini");

        //2  通过securityManager工厂获取SecurityManager实例

        SecurityManager securityManager = factory.getInstance();

        //3 将SecurityManager 对象设置到运行环境

        SecurityUtils.setSecurityManager(securityManager);

        //4 通过SecurityUtils获取主体subject

        Subject subject = SecurityUtils.getSubject();

        try {

            //5.假设登录名是zhangsan  密码是1111

            UsernamePasswordToken token = new UsernamePasswordToken("zhangsan","1111");

            //6，登录，进行用户身验证

            subject.login(token);

            //通过subject判断用户是否通过验证

            if(subject.isAuthenticated()){

                System.out.println("用户登录成功！");

            }

        } catch (UnknownAccountException e) {

            System.out.println("用户名或密码错误！");

            e.printStackTrace();

        }catch (IncorrectCredentialsException e) {

            System.out.println("用户名或密码错误！");

            e.printStackTrace();

        }

        System.out.println(subject.isPermittedAll("user:add","user:delete","user:update"));

        //7 退出

        subject.logout();

    }

}