SpringBoot - 安全框架Shiro的整合与使用教程（附样例）

1，添加依赖

<dependency>
    <groupId>org.apache.shiro</groupId>
    <artifactId>shiro-spring-boot-web-starter</artifactId>
    <version>1.4.0</version>
</dependency>
<dependency>
    <groupId>org.springframework.boot</groupId>
    <artifactId>spring-boot-starter-thymeleaf</artifactId>
</dependency>
<dependency>
    <groupId>com.github.theborakompanioni</groupId>
    <artifactId>thymeleaf-extras-shiro</artifactId>
    <version>2.0.0</version>
</dependency>

2，配置 Shiro

# 开启 Shrio 配置，默认为 true
shiro.enabled=true
# 开启 Shrio Web 配置，默认为 true
shiro.web.enabled=true
# 配置登录地址，默认为"login.jsp"
shiro.loginUrl=/login
# 配置登录成功地址，默认为"/"
shiro.successUrl=/index
# 配置未获授权默认跳转地址
shiro.unauthorizedUrl=/unauthorized
# 是否允许通过 URL 参数实现会话跟踪，默认为 true。如果网站支持 Cookie，可以关闭次选项。
shiro.sessionManager.sessionIdUrlRewritingEnabled=true
# 是否允许通过 Cookie 实现会话跟踪，默认为 true。
shiro.sessionManager.sessionIdCookieEnabled=true

@Configuration
public class ShiroConfig {

    // 配置用户和角色，Realm 可以是自定义的 Realm，也可以是 Shiro 提供的 Realm
    @Bean
    public Realm realm() {
        // 为简单起见，本案例没有配置数据库连接，直接配置了两个用户，以及对应的角色
        TextConfigurationRealm realm = new TextConfigurationRealm();
        realm.setUserDefinitions("admin=123,admin\n hangge=123,user");
        // 配置角色权限，admin 具有read、write 权限，user 只有 read 权限
        realm.setRoleDefinitions("admin=read,write\n user=read");
        return realm;
    }

    // 配置基本的过滤规则
    @Bean
    public ShiroFilterChainDefinition shiroFilterChainDefinition() {
        DefaultShiroFilterChainDefinition chainDefinition =
                new DefaultShiroFilterChainDefinition();
        // /login 和 /doLogin 可以匿名访问
        chainDefinition.addPathDefinition("/login", "anon");
        chainDefinition.addPathDefinition("/doLogin", "anon");
        // /logout 是一个注销登录请求
        chainDefinition.addPathDefinition("/logout", "logout");
        // 其余请求则都需要人周后才能访问
        chainDefinition.addPathDefinition("/**", "authc");
        return chainDefinition;
    }

    // 这个Bean是为了支持在Thymeleaf中使用Shiro标签
    // 如果不在Thymeleaf中使用Shiro标签，那么可以不提供 ShiroDialect
    @Bean
    public ShiroDialect shiroDialect() {
        return new ShiroDialect();
    }

    // 这个Bean的作用是使得@RequiresRoles和@RequiresPermissions注解生效
    @Bean
    public static DefaultAdvisorAutoProxyCreator getDefaultAdvisorAutoProxyCreator(){
        DefaultAdvisorAutoProxyCreator defaultAdvisorAutoProxyCreator = 
                new DefaultAdvisorAutoProxyCreator();
        // setUsePrefix(true)用于解决一个奇怪的bug。在引入spring aop的情况下。
        // 在@Controller注解的类的方法中加入@RequiresRole等shiro注解，会导致该方法无法映射请求，
        // 导致返回404，加入这项配置能解决这个bug
        defaultAdvisorAutoProxyCreator.setUsePrefix(true);
        return defaultAdvisorAutoProxyCreator;
    }
}

3，配置登录接口以及页面访问接口

@Controller
public class UserController {

    // 登录接口
    @PostMapping("/doLogin")
    public String doLogin(String username, String password, Model model) {
        // 通过接收到的用户名和密码构造一个 UsernamePasswordToken 实例
        UsernamePasswordToken token =
                new UsernamePasswordToken(username, password);
        // 获取一个Subject对象
        Subject subject = SecurityUtils.getSubject();
        try {
            // 执行登录操作
            subject.login(token);
        } catch (AuthenticationException e) {
            // 登录操作执行过程中，当有异常抛出时，说明登录失败，携带错误信息返回登录视图
            model.addAttribute("error", "用户名或密码输入错误!");
            return "login";
        }
        // 当登录成功时，则重定向到"/index"
        return "redirect:/index";
    }

    // 暴露"/admin"接口，并且该接口需要具有admin角色才能访问
    @RequiresRoles("admin")
    @GetMapping("/admin")
    public String admin() {
        return "admin";
    }

    // 暴露"/user"接口，并且该接口只要有admin或者user角色就能访问
    @RequiresRoles(value = {"admin","user"},logical = Logical.OR)
    @GetMapping("/user")
    public String user() {
        return "user";
    }
}

@Configuration
public class WebMvcConfig implements WebMvcConfigurer{
    @Override
    public void addViewControllers(ViewControllerRegistry registry) {
        registry.addViewController("/login").setViewName("login");
        registry.addViewController("/index").setViewName("index");
        registry.addViewController("/unauthorized").setViewName("unauthorized");
    }
}

4，创建全局异常处理器

@ControllerAdvice
public class ExceptionController {
    // 当用户访问未授权的资源时，跳转到 unauthorized 视图，并携带出错信息
    @ExceptionHandler(AuthorizationException.class)
    public ModelAndView error(AuthorizationException e) {
        ModelAndView mv = new ModelAndView("unauthorized");
        mv.addObject("error", e.getMessage());
        return mv;
    }
}

5，创建 HTML 页面

<!DOCTYPE html>
<html lang="en" xmlns:th="http://www.thymeleaf.org">
<head>
    <meta charset="UTF-8">
    <title>Title</title>
</head>
<body>
<div>
    <form action="/doLogin" method="post">
        <input type="text" name="username"><br>
        <input type="password" name="password"><br>
        <div th:text="${error}"></div>
        <input type="submit" value="登录">
    </form>
</div>
</body>

• 如果当前登录用户具备“admin”角色，则展示一个“管理员页面”的超链接
• 如果当前用户具备“admin”或者“user”角色，则展示一个“普通用户页面”的超链接

<!DOCTYPE html>
<html lang="en" xmlns:shiro="http://www.pollix.at/thymeleaf/shiro">
<head>
    <meta charset="UTF-8">
    <title>Title</title>
</head>
<body>
    <h3>Hello, <shiro:principal/></h3>
    <h3><a href="/logout">注销登录</a></h3>
    <h3><a shiro:hasRole="admin" href="/admin">管理员页面</a></h3>
    <h3><a shiro:hasAnyRoles="admin,user" href="/user">普通用户页面</a></h3>
</body>
</html>

<!DOCTYPE html>
<html lang="en">
<head>
    <meta charset="UTF-8">
    <title>Title</title>
</head>
<body>
    <h1>管理员页面</h1>
</body>
</html>

<!DOCTYPE html>
<html lang="en">
<head>
    <meta charset="UTF-8">
    <title>Title</title>
</head>
<body>
    <h1>普通用户页面</h1>
</body>
</html>

<!DOCTYPE html>
<html lang="en" xmlns:th="http://www.thymeleaf.org">
<head>
    <meta charset="UTF-8">
    <title>Title</title>
</head>
<body>
<div>
    <h3>未获授权，非法访问</h3>
    <h3 th:text="${error}"></h3>
</div>
</body>
</html>

6，运行测试