SpringBoot 怎么整合 Shiro

安全是任何Web应用的重要组成部分，而Apache Shiro是一个强大易用的安全框架，用以实现身份验证、授权、密码学和会话管理。SpringBoot整合Shiro主要涉及添加Shiro依赖、配置Shiro核心组件、整合Shiro标签与SpringBoot、实现动态权限更新等步骤。接下来，我们将对SpringBoot整合Shiro的核心步骤进行详细描述，以便为你的Web应用提供必要的安全保障。

一、添加SHIRO依赖

首先，要在Spring Boot项目中使用Shiro，需要在pom.xml文件中添加Shiro的相关依赖。下面是Shiro和Spring Boot整合使用时的基本依赖配置：

<dependencies>
    <!-- Shiro核心依赖 -->
    <dependency>
        <groupId>org.apache.shiro</groupId>
        <artifactId>shiro-spring</artifactId>
        <version>1.7.1</version>
    </dependency>
    <!-- Spring Boot启动器依赖 -->
    <dependency>
        <groupId>org.springframework.boot</groupId>
        <artifactId>spring-boot-starter</artifactId>
    </dependency>
    <!-- 其他必须的依赖 -->
    <!-- ... -->
</dependencies>

二、配置SHIRO核心组件

在整合SpringBoot和Shiro的过程中，核心组件配置是至关重要的。你需要配置Realm、SecurityManager以及ShiroFilter等。

Realm

Realm是Shiro与应用安全数据之间的“桥梁”或“连接器”。通过实现Realm接口，你可以将Shiro框架与应用的安全数据连接起来。

public class CustomRealm extends AuthorizingRealm {
    @Override
    protected AuthorizationInfo doGetAuthorizationInfo(PrincipalCollection principals) {
        // 在这里实现用户授权信息的加载
        SimpleAuthorizationInfo authorizationInfo = new SimpleAuthorizationInfo();
        // 添加角色和权限
        // authorizationInfo.addRole(...);
        // authorizationInfo.addStringPermission(...);
        return authorizationInfo;
    }
    @Override
    protected AuthenticationInfo doGetAuthenticationInfo(AuthenticationToken token) throws AuthenticationException {
        // 在这里实现用户身份认证的逻辑
        UsernamePasswordToken upToken = (UsernamePasswordToken) token;
        String username = upToken.getUsername();
        // 根据用户名查找用户信息
        // User user = ...
        if (user == null) {
            throw new UnknownAccountException("用户不存在！");
        }
        // 用户名作为盐值
        ByteSource credentialsSalt = ByteSource.Util.bytes(username);
        // 构建AuthenticationInfo对象并返回
        return new SimpleAuthenticationInfo(username, user.getPassword(), credentialsSalt, getName());
    }
}

SecurityManager

安全管理器SecurityManager是Shiro的核心，它协调内部的各种安全组件。你可以在配置类中定义并配置它。

@Configuration
public class ShiroConfig {
    @Bean
    public SecurityManager securityManager(CustomRealm customRealm) {
        DefaultWebSecurityManager securityManager = new DefaultWebSecurityManager();
        // 设置自定义Realm
        securityManager.setRealm(customRealm);
        return securityManager;
    }
}

ShiroFilter

Shiro的ShiroFilter负责拦截所有的请求并通过安全管理器进行安全校验。Shiro提供了一个ShiroFilterFactoryBean来帮助创建和配置ShiroFilter。

@Bean
public ShiroFilterFactoryBean shiroFilterFactoryBean(SecurityManager securityManager) {
    ShiroFilterFactoryBean shiroFilterFactoryBean = new ShiroFilterFactoryBean();
    // 设置安全管理器
    shiroFilterFactoryBean.setSecurityManager(securityManager);
    // 配置拦截器链
    Map<String, String> filterChAInDefinitionMap = new LinkedHashMap<>();
    filterChainDefinitionMap.put("/static/", "anon");
    filterChainDefinitionMap.put("/login", "anon");
    filterChainDefinitionMap.put("/", "authc");
    shiroFilterFactoryBean.setFilterChainDefinitionMap(filterChainDefinitionMap);
    // 配置登录的URL
    shiroFilterFactoryBean.setLoginUrl("/login");
    // 配置登录成功的URL
    shiroFilterFactoryBean.setSuccessUrl("/index");
    // 配置未授权的URL
    shiroFilterFactoryBean.setUnauthorizedUrl("/unauthorized");
    return shiroFilterFactoryBean;
}

三、整合SHIRO标签与SPRING BOOT

Shiro提供了很多有用的标签，用于在页面上进行权限控制。为了在Spring Boot应用的Thymeleaf模板中使用Shiro标签库，你需要添加一个Shiro的dialect，然后就可以在模板中使用Shiro提供的权限控制标签。

<!-- 添加对thyemeleaf支持的shiro方言依赖 -->
<dependency>
    <groupId>com.github.theborakompanioni</groupId>
    <artifactId>thymeleaf-extras-shiro</artifactId>
    <version>2.0.0</version>
</dependency>

然后在配置类中配置Thymeleaf的Shiro方言：

@Configuration
public class ThymeleafConfig {
    @Bean
    public ShiroDialect shiroDialect() {
        return new ShiroDialect();
    }
}

四、实现动态权限更新

在实际应用中，通常需要根据不同时间或条件动态调整权限规则。要达到这个目的，可以自定义一个service，用于在不重启服务的情况下重新加载权限规则。

@Service
public class ShiroService {
    @Autowired
    private ShiroFilterFactoryBean shiroFilterFactoryBean;
    // 动态更新新的权限
    public void updatePermission() {
        synchronized (shiroFilterFactoryBean) {
            AbstractShiroFilter shiroFilter;
            try {
                shiroFilter = (AbstractShiroFilter) shiroFilterFactoryBean.getObject();
            } catch (Exception e) {
                throw new RuntimeException("get ShiroFilter from shiroFilterFactoryBean error!", e);
            }
            // 获取过滤器链
            PathMatchingFilterChainResolver filterChainResolver = (PathMatchingFilterChainResolver) shiroFilter.getFilterChainResolver();
            DefaultFilterChainManager manager = (DefaultFilterChainManager) filterChainResolver.getFilterChainManager();
            // 清空旧的权限控制
            manager.getFilterChains().clear();
            shiroFilterFactoryBean.getFilterChainDefinitionMap().clear();
            // 动态重新加载权限
            // loadNewPermissions(manager, newPermissions);
        }
    }
}