Shiro權限管理框架詳解

時間 2019-12-06 標籤 shiro 權限管理框架詳解

1 權限管理1.1 什麼是權限管理java

基本上涉及到用戶參與的系統都要進行權限管理，權限管理屬於系統安全的範疇，權限管理實現對用戶訪問系統的控制，按照安全規則或者安全策略控制用戶能夠訪問並且只能訪問本身被受權的資源。mysql

權限管理包括用戶身份認證和受權兩部分，簡稱認證受權。對於須要訪問控制的資源用戶首先通過身份認證，認證經過後用戶具備該資源的訪問權限方可訪問。jquery

1.2 用戶身份認證1.2.1 概念web

身份認證，就是判斷一個用戶是否爲合法用戶的處理過程。最經常使用的簡單身份認證方式是系統經過覈對用戶輸入的用戶名和口令，看其是否與系統中存儲的該用戶的用戶名和口令一致，來判斷用戶身份是否正確。對於採用指紋等系統，則出示指紋；對於硬件Key等刷卡系統，則須要刷卡。算法

1.2.2 用戶名密碼身份認證流程spring

1.2.3 關鍵對象sql

上邊的流程圖中須要理解如下關鍵對象：數據庫

Subject：主體apache

訪問系統的用戶，主體能夠是用戶、程序等，進行認證的都稱爲主體；編程

Principal：身份信息

是主體（subject）進行身份認證的標識，標識必須具備惟一性，如用戶名、手機號、郵箱地址等，一個主體能夠有多個身份，可是必須有一個主身份（Primary Principal）。

credential：憑證信息

是隻有主體本身知道的安全信息，如密碼、證書等。

1.3 受權1.3.1 概念

受權，即訪問控制，控制誰能訪問哪些資源。主體進行身份認證後須要分配權限方可訪問系統的資源，對於某些資源沒有權限是沒法訪問的。

1.3.2 受權流程

下圖中橙色爲受權流程。

1.3.3 關鍵對象

受權可簡單理解爲who對what(which)進行How操做：

Who，即主體（Subject），主體須要訪問系統中的資源。

What，即資源（Resource），如系統菜單、頁面、按鈕、類方法、系統商品信息等。資源包括資源類型和資源實例，好比商品信息爲資源類型，類型爲t01的商品爲資源實例，編號爲001的商品信息也屬於資源實例。

How，權限/許可（Permission），規定了主體對資源的操做許可，權限離開資源沒有意義，如用戶查詢權限、用戶添加權限、某個類方法的調用權限、編號爲001用戶的修改權限等，經過權限可知主體對哪些資源都有哪些操做許可。

權限分爲粗顆粒和細顆粒，粗顆粒權限是指對資源類型的權限，細顆粒權限是對資源實例的權限。

主體、資源、權限關係以下圖：

1.3.4 權限模型

對上節中的主體、資源、權限經過數據模型表示。

主體（帳號、密碼）

資源（資源名稱、訪問地址）

權限（權限名稱、資源id）

角色（角色名稱）

角色和權限關係（角色id、權限id）

主體和角色關係（主體id、角色id）

以下圖：

一般企業開發中將資源和權限表合併爲一張權限表，以下：

資源（資源名稱、訪問地址）

權限（權限名稱、資源id）

合併爲：

權限（權限名稱、資源名稱、資源訪問地址）

上圖常被稱爲權限管理的通用模型，不過企業在開發中根據系統自身的特色還會對上圖進行修改，可是用戶、角色、權限、用戶角色關係、角色權限關係是須要去理解的。

1.3.5 權限分配

對主體分配權限，主體只容許在權限範圍內對資源進行操做，好比：對u01用戶分配商品修改權限，u01用戶只能對商品進行修改。

權限分配的數據一般須要持久化，根據上邊的數據模型建立表並將用戶的權限信息存儲在數據庫中。

1.3.6 權限控制

用戶擁有了權限便可操做權限範圍內的資源，系統不知道主體是否具備訪問權限須要對用戶的訪問進行控制。

1.3.6.1 基於角色的訪問控制

RBAC基於角色的訪問控制（Role-Based Access Control）是以角色爲中心進行訪問控制，好比：主體的角色爲總經理能夠查詢企業運營報表，查詢員工工資信息等，訪問控制流程以下：

上圖中的判斷邏輯代碼能夠理解爲：

if(主體.hasRole("總經理角色id")){

查詢工資

}

缺點：以角色進行訪問控制粒度較粗，若是上圖中查詢工資所須要的角色變化爲總經理和部門經理，此時就須要修改判斷邏輯爲「判斷主體的角色是不是總經理或部門經理」，系統可擴展性差。

修改代碼以下：

if(主體.hasRole("總經理角色id") || 主體.hasRole("部門經理角色id")){

查詢工資

}

1.3.6.2 基於資源的訪問控制

RBAC基於資源的訪問控制（Resource-Based Access Control）是以資源爲中心進行訪問控制，好比：主體必須具備查詢工資權限才能夠查詢員工工資信息等，訪問控制流程以下：

上圖中的判斷邏輯代碼能夠理解爲：

if(主體.hasPermission("查詢工資權限標識")){

查詢工資

}

優勢：系統設計時定義好查詢工資的權限標識，即便查詢工資所須要的角色變化爲總經理和部門經理也只須要將「查詢工資信息權限」添加到「部門經理角色」的權限列表中，判斷邏輯不用修改，系統可擴展性強。

1 權限管理解決方案1.1 粗顆粒度和細顆粒度1.1.1 什麼是粗顆粒度和細顆粒度

對資源類型的管理稱爲粗顆粒度權限管理，即只控制到菜單、按鈕、方法，粗粒度的例子好比：用戶具備用戶管理的權限，具備導出訂單明細的權限。對資源實例的控制稱爲細顆粒度權限管理，即控制到數據級別的權限，好比：用戶只容許修改本部門的員工信息，用戶只容許導出本身建立的訂單明細。

1.1.2 如何實現粗顆粒度和細顆粒度

對於粗顆粒度的權限管理能夠很容易作系統架構級別的功能，即系統功能操做使用統一的粗顆粒度的權限管理。

對於細顆粒度的權限管理不建議作成系統架構級別的功能，由於對數據級別的控制是系統的業務需求，隨着業務需求的變動業務功能變化的可能性很大，建議對數據級別的權限控制在業務層個性化開發，好比：用戶只容許修改本身建立的商品信息能夠在service接口添加校驗實現，service接口須要傳入當前操做人的標識，與商品信息建立人標識對比，不一致則不容許修改商品信息。

1.2 基於url攔截

基於url攔截是企業中經常使用的權限管理方法，實現思路是：將系統操做的每一個url配置在權限表中，將權限對應到角色，將角色分配給用戶，用戶訪問系統功能經過Filter進行過慮，過慮器獲取到用戶訪問的url，只要訪問的url是用戶分配角色中的url則放行繼續訪問。

以下圖：

1.3 使用權限管理框架

對於權限管理基本上每一個系統都有，使用權限管理框架完成權限管理功能的開發能夠節省系統開發時間，而且權限管理框架提供了完善的認證和受權功能有利於系統擴展維護，可是學習權限管理框架是須要成本的，因此選擇一款簡單高效的權限管理框架顯得很是重要。

1 基於url攔截實現1.1 環境準備

jdk：1.7.0_72

web容器：tomcat7

系統框架：springmvc3.2.0+mybatis3.2.7

（詳細參考springmvc教案）

前臺UI：jquery easyUI1.2.2

1.2 數據庫

建立mysql5.1數據庫

建立用戶表、角色表、權限表、角色權限關係表、用戶角色關係表。

導入腳本，先導入shiro_sql_talbe.sql再導入shiro-sql_table_data.sql

1.3 activeUser用戶身份類

用戶登錄成功記錄activeUser信息並將activeUser存入session。

1.4 anonymousURL.properties

anonymousURL.properties公開訪問地址，無需身份認證便可訪問。

1.5 commonURL.properties

commonURL.properties公共訪問地址，身份認證經過無需分配權限便可訪問。

1.6 用戶身份認證攔截器

使用springmvc攔截器對用戶身份認證進行攔截，若是用戶沒有登錄則跳轉到登錄頁面，本功能也可使用filter實現。

1.7 用戶受權攔截器

使用springmvc攔截器對用戶訪問url進行攔截，若是用戶訪問的url沒有分配權限則跳轉到無權操做提示頁面（refuse.jsp），本功能也可使用filter實現。

1.8 用戶登錄

用戶輸入用戶帳號和密碼登錄，登錄成功將用戶的身份信息（用戶帳號、密碼、權限菜單、權限url等）記入activeUser類，並寫入session。

1.8.1 controller

1.8.2 service接口

1 shiro介紹1.1 什麼是shiro

Shiro是apache旗下一個開源框架，它將軟件系統的安全認證相關的功能抽取出來，實現用戶身份認證，權限受權、加密、會話管理等功能，組成了一個通用的安全認證框架。

1.2 爲何要學shiro

既然shiro將安全認證相關的功能抽取出來組成一個框架，使用shiro就能夠很是快速的完成認證、受權等功能的開發，下降系統成本。

shiro使用普遍，shiro能夠運行在web應用，非web應用，集羣分佈式應用中愈來愈多的用戶開始使用shiro。

java領域中spring security(原名Acegi)也是一個開源的權限管理框架，可是spring security依賴spring運行，而shiro就相對獨立，最主要是由於shiro使用簡單、靈活，因此如今愈來愈多的用戶選擇shiro。

1.3 Shiro架構

1.3.1 Subject

Subject即主體，外部應用與subject進行交互，subject記錄了當前操做用戶，將用戶的概念理解爲當前操做的主體，多是一個經過瀏覽器請求的用戶，也多是一個運行的程序。Subject在shiro中是一個接口，接口中定義了不少認證授相關的方法，外部程序經過subject進行認證授，而subject是經過SecurityManager安全管理器進行認證受權

1.3.2 SecurityManager

SecurityManager即安全管理器，對所有的subject進行安全管理，它是shiro的核心，負責對全部的subject進行安全管理。經過SecurityManager能夠完成subject的認證、受權等，實質上SecurityManager是經過Authenticator進行認證，經過Authorizer進行受權，經過SessionManager進行會話管理等。

SecurityManager是一個接口，繼承了Authenticator, Authorizer, SessionManager這三個接口。

1.3.3 Authenticator

Authenticator即認證器，對用戶身份進行認證，Authenticator是一個接口，shiro提供ModularRealmAuthenticator實現類，經過ModularRealmAuthenticator基本上能夠知足大多數需求，也能夠自定義認證器。

1.3.4 Authorizer

Authorizer即受權器，用戶經過認證器認證經過，在訪問功能時須要經過受權器判斷用戶是否有此功能的操做權限。

1.3.5 realm

Realm即領域，至關於datasource數據源，securityManager進行安全認證須要經過Realm獲取用戶權限數據，好比：若是用戶身份數據在數據庫那麼realm就須要從數據庫獲取用戶身份信息。

注意：不要把realm理解成只是從數據源取數據，在realm中還有認證受權校驗的相關的代碼。

1.3.6 sessionManager

sessionManager即會話管理，shiro框架定義了一套會話管理，它不依賴web容器的session，因此shiro可使用在非web應用上，也能夠將分佈式應用的會話集中在一點管理，此特性可以使它實現單點登陸。

1.3.7 SessionDAO

SessionDAO即會話dao，是對session會話操做的一套接口，好比要將session存儲到數據庫，能夠經過jdbc將會話存儲到數據庫。

1.3.8 CacheManager

CacheManager即緩存管理，將用戶權限數據存儲在緩存，這樣能夠提升性能。

1.3.9 Cryptography

Cryptography即密碼管理，shiro提供了一套加密/解密的組件，方便開發。好比提供經常使用的散列、加/解密等功能。

1.4 shiro的jar包

與其它java開源框架相似，將shiro的jar包加入項目就可使用shiro提供的功能了。shiro-core是核心包必須選用，還提供了與web整合的shiro-web、與spring整合的shiro-spring、與任務調度quartz整合的shiro-quartz等，下邊是shiro各jar包的maven座標。