Shiro的统一认证授权

cocopeak 发布于2019-08-19 10:54 / 3047人阅读

摘要：的统一认证授权是下面的一个简单，易用的权限框架，对于单体应用来讲，完全能够极好的，快速的满足权限的需求，所以一般在做项目的时候，都会成为开发者的首选。

Shiro的统一认证授权

Shiro是Apache下面的一个简单，易用的Java权限框架，对于单体应用来讲，Shiro完全能够极好的，快速的满足权限的需求，所以一般在做项目的时候，Shiro都会成为开发者的首选。

可是，如果你需要做第二个，第三个，第n个应用，同样需要相同的认证、授权时，可能就需要对Shiro进行一定的扩展或者是集成其它框架，才能很好的满足你的需求了。

Shiro是如何进行认证授权

Shiro本身并没有帮你实现认证、授权，但Shiro很好的定义了权限相关的一些概念，让你完成具体的实现

认证
在Shiro里，完成认证一般是这样的subject.login(token)，Subject代表一个用户，Token代表一个用户请求授权时提交的授权信息，通过AuthenticatingRealm.doGetAuthenticationInfo()获取到当前Subject的一些信息，比如Principals，Credentials，校验提交的token，如果登录成功，保存当前登录用户

授权
在Shiro里，权限控制一般是这样的@RequiresPermissions，当用户访问受保护资源的时候，Shiro会通过AuthorizingRealm.doGetAuthorizationInfo()，从当前认证通过Subject的Principals里获取用户的权限，判断用户是否能访问该资源

在Shiro里，通过实现Realm来完成上面2件事情，当你时单体应用的时候，非常简单就能完成应用的认证授权。

但是当你有多个应用，需要复用同一套用户以及权限信息时该怎么做呢，可以复用Realm，用户权限在同一个db中，这样的话是可以实现的，但是耦合太高，不同的应用必须要接入同一个数据源才行；或者可以把用户权限相关的DAO剥离出来，作为RPC或Rest调用，也可以实现；但是更好的方式是把认证授权整个剥离出来，多带带作为认证授权服务

基于Shiro的统一认证授权

为了实现统一认证授权，Shiro有CasFilter，可以集成CAS，但是CAS又是另外一套框架，较为重，有多带带的学习成本，所以这里介绍一种更简单，轻量，易用的，基于Shiro的认证授权服务shiro-uaa

认证授权流程

用户请求受保护资源Resource Server

Resource Server判断用户是否已经登录

如果没有登录，Resource Server引导用户到UAA Server进行登录

用户在UAA Server登录，如果登录成功，UAA Server返回code给用户，并引导用户到之前访问的Resource Server

Resource Server用code到UAA Server获取access-token，token包含用户授权信息

Resource Server验证accessToken是否合法，如果合法，在Resource Server保存用户信息

如下图：

使用

auth-server

引用maven

实现自己的登录

resource-server

引用maven

和shiro一样，使用相关注解进行权限控制

基本上开箱即用，目前auth-server只是作为jar包提供，需要自己实现登录逻辑，后续会有可部署服务

shiro-uaa具体的相关说明介绍可以查看项目地址

idc机房托管服务器托管 java统一用户认证认证授权基本认证授权 java认证和授权

文章版权归作者所有，未经允许请勿转载,若此文章存在违规行为，您可以联系管理员删除。

转载请注明本文地址：https://www.ucloud.cn/yun/76660.html

Shiro入门这篇就够了【Shiro的基础知识、回顾URL拦截】

摘要：细粒度权限管理就是数据级别的权限管理。张三只能查看行政部的用户信息，李四只能查看开发部门的用户信息。比如通过的拦截器实现授权。前言本文主要讲解的知识点有以下：权限管理的基础知识模型粗粒度和细粒度的概念回顾URL拦截的实现 Shiro的介绍与简单入门一、Shiro基础知识在学习Shiro这个框架之前，首先我们要先了解Shiro需要的基础知识：权限管理 1.1什...

chenjiang3 2019-08-15 14:51 评论0 收藏0
Spring Security

摘要：框架具有轻便，开源的优点，所以本译见构建用户管理微服务五使用令牌和来实现身份验证往期译见系列文章在账号分享中持续连载，敬请查看在往期译见系列的文章中，我们已经建立了业务逻辑数据访问层和前端控制器但是忽略了对身份进行验证。重拾后端之Spring Boot（四）：使用JWT和Spring Security保护REST API 重拾后端之Spring Boot（一）：REST API的搭建...

keelii 2019-06-21 16:40 评论0 收藏0
Shiro【授权、整合Spirng、Shiro过滤器】

摘要：表示对用户资源进行操作，相当于，对所有用户资源实例进行操作。与整合，实际上的操作都是通过过滤器来干的。将安全管理器交由工厂来进行管理。在过滤器链中设置静态资源不拦截。前言本文主要讲解的知识点有以下： Shiro授权的方式简单介绍与Spring整合初始Shiro过滤器一、Shiro授权上一篇我们已经讲解了Shiro的认证相关的知识了，现在我们来弄Shiro的授权 Shir...

ralap 2019-08-15 14:53 评论0 收藏0
Shiro【授权过滤器、与ehcache整合、验证码、记住我】

摘要：为了达到很好的效果，我们使用来对的缓存进行管理配置会话管理器，对会话时间进行控制手动清空缓存由于验证用户名和密码之前，一般需要验证验证码的。前言本文主要讲解的知识点有以下： Shiro授权过滤器使用 Shiro缓存与Ehcache整合 Shiro应用->实现验证码功能记住我功能一、授权过滤器测试我们的授权过滤器使用的是permissionsAuthorization...

K_B_Z 2019-08-19 10:42 评论0 收藏0
不用 Spring Security 可否？试试这个小而美的安全框架

摘要：写在前面在一款应用的整个生命周期，我们都会谈及该应用的数据安全问题。用户的合法性与数据的可见性是数据安全中非常重要的一部分。写在前面在一款应用的整个生命周期，我们都会谈及该应用的数据安全问题。用户的合法性与数据的可见性是数据安全中非常重要的一部分。但是，一方面，不同的应用对于数据的合法性和可见性要求的维度与粒度都有所区别；另一方面，以当前微服务、多服务的架构方式，如何共享Sessi...

toddmark 2019-08-19 10:23 评论0 收藏0