使用shiro保护你的springboot应用

项目简介

springboot中使用shiro大都是通过shiro-spring.jar进行的整合的,虽然不是太复杂,但是也无法做到spring-boot-starter风格的开箱即用。
项目中经常用到的功能比如:验证码、密码错误次数限制、账号唯一用户登陆、动态URL过滤规则、无状态鉴权等等,shiro还没有直接提供支持。
jsets-shiro-spring-boot-starter对这些常用的功能进行了封装和自动导入,少量的配置就可以应用在项目中。
1、项目地址:jsets-shiro-spring-boot-starter
2、使用说明:使用说明
3、示例应用:jsets-shiro-demo
如果您对这个组件感兴趣请star收藏,在使用这个组件中有任何问题或意见都可以在这里交流,欢迎提交代码。

已完成功能

1、spring-boot-starter风格的开箱即用。
2、区分ajax请求和普通请求,普通请求通过跳转来响应未登陆和未授权,AJAX请求通过状态码和消息响应未登陆和未授权。
3、集成jcaptcha验证码。
4、密码输入错误,重试次数限制。
5、账号唯一用户登陆,一个账号只允许一个用户登陆。
6、与SpringCache无缝对接,支持guava、ehcache、redis等。
7、提供认证\授权缓存数据同步接口,即时生效。
8、支持动态URL过滤规则。
9、无状态认证授权支持,共存有状态和无状态两种鉴权方式,无状态鉴权支持JWT(JSON WEB TOKEN)、HMAC(哈希消息认证码)两种协议。
10、在线session管理,强制用户下线功能。

后续计划功能

1、cas单点登陆集成
2、oauth2.0支持

快速体验

1、pom.xml中添加:

<dependency>
    <groupId>org.jsets</groupId>
    <artifactId>jsets-shiro-spring-boot-starter</artifactId>
    <version>0.0.1</version>
</dependency>

2、application.properties添加下面配置:

###jsets-shiro配置
#登陆页面
jsets.shiro.login-url=/login
#登陆成功页面
jsets.shiro.login-success-url=/index
#忽略拦截的URL,静态资源
jsets.shiro.filte-rules[0]=/assets/**-->anon
#登陆
jsets.shiro.filte-rules[1]=/login/**-->authc
#退出
jsets.shiro.filte-rules[2]=/logout/**-->logout
#所有路径,断言session中存在用户
jsets.shiro.filte-rules[3]=/**-->user

3、创建Controller类IndexAction.java:

@Controller
public class IndexAction {
    @RequestMapping("/")
    public String def() {
         return "index";
    }
    @RequestMapping("/index")
    public String index() {
         return "index";
    }
    @RequestMapping("/login")
    public String login() {
        return "login";
    }
}

4、创建登陆页面login.html:

<form class="login-form" action="${ctx}/login" method="post">
    <div class="form-item">
    用户名:<input type="text" name="username" />
    </div>
    <div class="form-item">
        密码:<input type="password" name="password" />
    </div>
    <div class="form-item">
        <button type="submit">登录</button>
    </div>
</form>
<!-- 认证信息 -->
<font color="red">${Request["shiro_auth_message"]!}</font>

5、创建主页index.html:

<div class="body">
欢迎您:${Session.shiro_current_user.account!}
<br>
退出:<a href="${ctx}/logout">退了</a>
</div>

6、启用jsets-shiro-spring-boot-starter:

@SpringBootApplication
@EnableJsetsShiro
public class Application{
    public static void main(String[] args) {
        SpringApplication.run(Application.class, args);
    }
}

启动springboot应用,控制台会打印出组件预置的体验账号和密码:


控制台体验账号

使用这个账号和密码就可以登陆系统了。

鉴权要素

鉴:认证(Authentication)即证明您是账号表示的那个人,基于form的认证中使用口令(密码),rest api认证中使用令牌(token)。
权:权限验证(Authorization)即根据一个判断规则来验证您是否能执行一个操作。

认证的过程需要账号数据,这个数据至少包含三个元素:账号(用户名)、密码、账号是否可用。
jsets-shiro-spring-boot-starter中使用Account接口表示账号数据、使用ShiroAccountProvider接口为鉴权操作提供Account数据,数据来源不限比如可以从数据库、文件、LDAP、远程服务等各种方式加载。

权限验证的过程需要权限数据和规则数据,权限泛指能否操作资源,角色是权限的集合,如果使用权限来表示一个用户能操作的资源显然不方便,所以大部分系统的安全模型都是基于RBAC(Role-Based Access Control 基于角色的权限访问控制)的。jsets-shiro-spring-boot-starter同样使用ShiroAccountProvider接口为鉴权操作提供权限(角色)数据,数据来源不限。

具体参见"使用说明--接入用户数据"一章。

规则数据,如果没有规则就不存在判断,权限验证也就无从谈起,在shiro中规则表示成这样:

article/update=roles[role_editor]
article/delete=roles[role_chief]
article/publish=roles[role_chief]

"article/update"就是操作的资源,"roles[role_editor]"是判断标准,表示用户的角色列表中包含"role_editor"角色,操作加上判断标准就是规则。jsets-shiro-spring-boot-starter中您可以在application.properties中配置这样的规则。也可以通过shiro的AOP方式配置规则,类似于这样:

@RequiresRoles("role_editor")
public void update(Article article){
}

这两种方式是有局限的,比如角色-资源的对应关系发生变更,比如新增了一种角色,那就只能修改配置或者代码然后重启动系统才能使得这些变更生效。实际开发中则更希望通数据库查询出角色-资源的对应数据,动态生成URL规则,当角色-资源的对应关系发生变更时能刷新并立即用户这些规则。

您可以通过ShiroFilteRulesProvider接口为鉴权操作提供规则数据,并且支持实时刷新应用这些规则。

具体参见"使用说明--动态URL过滤"一章。

无状态鉴权

无状态(Stateless)鉴权通常应用在微服务(REST API)架构中,使用数字摘要(签名)技术生成一个token作为认证和授权的凭证,整个认证和授权过程不依赖于cookie或session,服务端不保留客户端状态因此每次请求都要携带这个token。

jsets-shiro-spring-boot-starter提供两种无状态鉴权方式,分别是散列消息认证码(HMAC)、JSON WEB TOKEN(JWT)。

HMAC适合端到端的鉴权,即客户端拿着签名让服务端进行验签。
JWT适合客户端询问系统B是否有权访问系统C和系统N如果有请开份凭证,然后拿着凭证让系统C和系统N进行验签。

JWT是自包含的,令牌中携带访问主张(角色或权限),所以JWT鉴权不需要查询数据。HMAC鉴权则需要查询数据库获取角色或权限数据。HMAC和JWT鉴权过程均不产生session。

如果您的系统即有状态鉴权(即基于FORM的登陆认证)又有无状态鉴权(即提供rest接口),毕竟不是所有的系统都做了服务化拆分的,默认情况下HMAC也是使用ShiroAccountProvider接口为鉴权操作提供身份认证和权限验证数据,和有状态鉴权公用一套数据。如您想拆分它们,即HMAC使用自己的鉴权数据,可以使用ShiroStatelessAccountProvider为无状态鉴权提供数据。

具体参见"使用说明--无状态鉴权"一章。

组件扩展

JsetsShiroConfigurationAdapter是shiro配置的适配器,通过它您可以定制Realm、filter、SessionDAO、CacheManager等。

示例展示

jsets-shiro-demo是jsets-shiro-spring-boot-starter是应用示例,做的不是很精细,主要为了演示功能实现。

主界面:


登陆成功情况

验证码:


验证码为空的情况

账号或密码错误的情况

用户被踢出:

当前用户被踢出

密码输入错误重试次数限制:


重试错误提示
错误次数超限锁定

角色列表:


角色列表

权限拦截:

权限不足

资源分配:

资源分配

权限验证通过:

角色验证成功

HMAC验签通过:


hmac验签成功

HMAC签名失效:


签名过期

HMAC签名无效:


签名无效

JWT权限验证失败:


权限不足

JWT需要身份认证:


未进行身份认证

在线用户列表:


当前在线用户

强制用户下线:


当前用户被管理员强制下线

更多功能和特性请参见jsets-shiro-spring-boot-starter源码和使用说明。

推荐阅读更多精彩内容