SpringBoot 中怎么对 Shiro 进行整合

SpringBoot与Shiro整合主要通过以下几个步骤实现：添加依赖、配置Shiro、集成MyBatis、创建Realm、定义安全策略、启动和测试。在这些步骤中，配置Shiro是最为关键的一步，需要详细配置ShiroFilterFactoryBean、SecurityManager以及自定义的Realm，这些组件是实现权限控制的核心。Shiro提供了完善的认证、授权、会话管理和缓存功能，通过与SpringBoot的高度整合，能够轻松构建安全的应用。

一、添加依赖

在SpringBoot项目的pom.xml文件中，首先需要添加与Shiro和SpringBoot整合相关的依赖。Apache Shiro是一个强大且灵活的安全框架，它能够处理认证、授权、加密和会话管理。

<dependencies>
    <!-- Spring Boot相关依赖省略 -->
    <!-- 添加Shiro的Spring Boot Starter依赖 -->
    <dependency>
        <groupId>org.apache.shiro</groupId>
        <artifactId>shiro-spring-boot-starter</artifactId>
        <version>1.5.3</version> <!-- 相应的版本号根据实际情况选取 -->
    </dependency>
    <!-- 其他依赖例如MyBatis、数据库驱动、Lombok等 -->
</dependencies>

安装依赖后，SpringBoot会自动配置Shiro的一些基本组件，但是往往需要我们根据实际应用场景进行自定义的配置。

二、配置Shiro

配置Shiro的核心在于实现一个自定义的ShiroConfig类，在这个类中定义了Shiro的工作方式，包括Realm的定义、Session管理、缓存管理和安全策略等。

1. 定义ShiroConfig类

@Configuration
public class ShiroConfig {
    @Bean
    public SecurityManager securityManager(CustomRealm customRealm) {
        DefaultWebSecurityManager securityManager = new DefaultWebSecurityManager();
        securityManager.setRealm(customRealm);
        // 可以添加其他安全组件，如缓存管理、会话管理等
        return securityManager;
    }
    @Bean
    public ShiroFilterFactoryBean shiroFilter(SecurityManager securityManager) {
        ShiroFilterFactoryBean shiroFilterFactoryBean = new ShiroFilterFactoryBean();
        shiroFilterFactoryBean.setSecurityManager(securityManager);
        // 定义shiro过滤链
        Map<String, String> filterChAInDefinitionMap = new LinkedHashMap<>();
        filterChainDefinitionMap.put("/login", "anon"); // 允许匿名访问
        filterChainDefinitionMap.put("/logout", "logout"); // 配置登出路径
        filterChainDefinitionMap.put("/", "authc"); // 其他路径需要认证
        // 配置登陆页面
        shiroFilterFactoryBean.setLoginUrl("/login.html");
        // 登陆成功后的页面
        shiroFilterFactoryBean.setSuccessUrl("/index.html");
        // 未授权页面
        shiroFilterFactoryBean.setUnauthorizedUrl("/unauthorized.html");
        shiroFilterFactoryBean.setFilterChainDefinitionMap(filterChainDefinitionMap);
        return shiroFilterFactoryBean;
    }
    // 以下省略其他Bean的配置 ...
}

2. 创建自定义Realm

自定义Realm继承自AuthorizingRealm，重写doGetAuthenticationInfo和doGetAuthorizationInfo两个方法，负责实现用户认证和授权逻辑。

public class CustomRealm extends AuthorizingRealm {
    @Override
    protected AuthorizationInfo doGetAuthorizationInfo(PrincipalCollection principals) {
        // 此处实现获取用户权限信息的逻辑
        SimpleAuthorizationInfo authorizationInfo = new SimpleAuthorizationInfo();
        // 填充权限和角色信息
        return authorizationInfo;
    }
    @Override
    protected AuthenticationInfo doGetAuthenticationInfo(AuthenticationToken token) throws AuthenticationException {
        // 此处实现获取用户认证信息的逻辑
        UsernamePasswordToken usernamePasswordToken = (UsernamePasswordToken) token;
        String username = usernamePasswordToken.getUsername();
        // 根据用户名查询数据库中的用户信息
        if (username == null) {
            throw new UnknownAccountException("用户不存在！");
        }
        // 假设数据库用户的密码是password，以下需要替换为从数据库获取的真实密码
        String password = "password"; 
        // 返回认证信息由父类AuthenticatingRealm使用CredentialsMatcher进行密码匹配
        return new SimpleAuthenticationInfo(username, password, getName());
    }
}

三、集成MyBatis

通常我们需要将Shiro与MyBatis进行集成，实现使用数据库中的用户信息进行认证和授权。这需要配置MyBatis相关的Mapper接口和实体类。

1. 配置MyBatis Mapper和实体类

首先，我们需要定义一些用户和权限相关的实体类，然后创建对应的MyBatis Mapper接口，并编写相应的XML Mapper来实现数据的CRUD操作。

public class User {
    private String username;
    private String password;
    // 用户实体类的其他属性和getter/setter方法
}
@Mapper
public interface UserMapper {
    User findByUsername(String username);
    // 其他数据库操作接口方法
}

2. 配置MyBatis的XML Mapper文件

XML Mapper文件中编写SQL查询语句，用于实现认证和授权的数据库操作。

<?xml version="1.0" encoding="UTF-8" ?>
<!DOCTYPE mapper PUBLIC "-//mybatis.org//DTD Mapper 3.0//EN" "http://mybatis.org/dtd/mybatis-3-mapper.dtd">
<mapper namespace="com.example.mapper.UserMapper">
    <!-- 实现通过用户名查询用户 -->
    <select id="findByUsername" resultType="com.example.entity.User">
        SELECT * FROM users WHERE username = #{username}
    </select>
    <!-- 其他SQL语句 -->
</mapper>

四、定义安全策略

在Shiro中定义安全策略是通过Shiro的配置类ShiroConfig来实现的，我们已经在上文中的配置Shiro一节中介绍了部分安全策略的配置，包括权限的配置(filterChainDefinitionMap)、指定登录页面和未授权页面等。

除此之外，我们还可以通过配置会话管理和缓存管理来进一步增强应用的安全性和性能。

1. 会话管理配置

@Bean
public DefaultWebSessionManager sessionManager() {
    DefaultWebSessionManager sessionManager = new DefaultWebSessionManager();
    // 设置Session失效时间，单位为毫秒
    sessionManager.setGlobalSessionTimeout(1800000);
    // 删除失效的Session
    sessionManager.setDeleteInvalidSessions(true);
    // 定义SessionDAO操作
    sessionManager.setSessionDAO(new EnterpriseCacheSessionDAO());
    // 等等...
    return sessionManager;
}

2. 缓存管理配置

@Bean
public CacheManager cacheManager() {
    EhCacheManager cacheManager = new EhCacheManager();
    // 设置EhCache配置文件的位置
    cacheManager.setCacheManagerConfigFile("classpath:ehcache.xml");
    return cacheManager;
}