使用shiro保护你的springboot应用

项目简介

springboot中使用shiro大都是通过shiro-spring.jar进行的整合的,虽然不是太复杂，但是也无法做到spring-boot-starter风格的开箱即用。
项目中经常用到的功能比如：验证码、密码错误次数限制、账号唯一用户登陆、动态URL过滤规则、无状态鉴权等等，shiro还没有直接提供支持。
jsets-shiro-spring-boot-starter对这些常用的功能进行了封装和自动导入，少量的配置就可以应用在项目中。
1、项目地址：jsets-shiro-spring-boot-starter
2、使用说明：使用说明
3、示例应用：jsets-shiro-demo
如果您对这个组件感兴趣请star收藏，在使用这个组件中有任何问题或意见都可以在这里交流，欢迎提交代码。

已完成功能

1、spring-boot-starter风格的开箱即用。
2、区分ajax请求和普通请求，普通请求通过跳转来响应未登陆和未授权，AJAX请求通过状态码和消息响应未登陆和未授权。
3、集成jcaptcha验证码。
4、密码输入错误，重试次数限制。
5、账号唯一用户登陆，一个账号只允许一个用户登陆。
6、与SpringCache无缝对接，支持guava、ehcache、redis等。
7、提供认证\授权缓存数据同步接口，即时生效。
8、支持动态URL过滤规则。
9、无状态认证授权支持，共存有状态和无状态两种鉴权方式，无状态鉴权支持JWT(JSON WEB TOKEN)、HMAC(哈希消息认证码)两种协议。
10、在线session管理，强制用户下线功能。

后续计划功能

1、cas单点登陆集成
2、oauth2.0支持

快速体验

1、pom.xml中添加：

<dependency>
    <groupId>org.jsets</groupId>
    <artifactId>jsets-shiro-spring-boot-starter</artifactId>
    <version>0.0.1</version>
</dependency>

2、application.properties添加下面配置：

###jsets-shiro配置
#登陆页面
jsets.shiro.login-url=/login
#登陆成功页面
jsets.shiro.login-success-url=/index
#忽略拦截的URL,静态资源
jsets.shiro.filte-rules[0]=/assets/**-->anon
#登陆
jsets.shiro.filte-rules[1]=/login/**-->authc
#退出
jsets.shiro.filte-rules[2]=/logout/**-->logout
#所有路径，断言session中存在用户
jsets.shiro.filte-rules[3]=/**-->user

3、创建Controller类IndexAction.java：

@Controller
public class IndexAction {
    @RequestMapping("/")
    public String def() {
         return "index";
    }
    @RequestMapping("/index")
    public String index() {
         return "index";
    }
    @RequestMapping("/login")
    public String login() {
        return "login";
    }
}

4、创建登陆页面login.html：

<form class="login-form" action="${ctx}/login" method="post">
    <div class="form-item">
    用户名：<input type="text" name="username" />
    </div>
    <div class="form-item">
        密码：<input type="password" name="password" />
    </div>
    <div class="form-item">
        <button type="submit">登录</button>
    </div>
</form>
<!-- 认证信息 -->
<font color="red">${Request["shiro_auth_message"]!}</font>

5、创建主页index.html：

<div class="body">
欢迎您：${Session.shiro_current_user.account!}
<br>
退出：<a href="${ctx}/logout">退了</a>
</div>

6、启用jsets-shiro-spring-boot-starter：

@SpringBootApplication
@EnableJsetsShiro
public class Application{
    public static void main(String[] args) {
        SpringApplication.run(Application.class, args);
    }
}

启动springboot应用，控制台会打印出组件预置的体验账号和密码：

控制台体验账号

使用这个账号和密码就可以登陆系统了。

鉴权要素

鉴：认证（Authentication）即证明您是账号表示的那个人，基于form的认证中使用口令(密码)，rest api认证中使用令牌(token)。
权：权限验证（Authorization）即根据一个判断规则来验证您是否能执行一个操作。

认证的过程需要账号数据，这个数据至少包含三个元素：账号(用户名)、密码、账号是否可用。
jsets-shiro-spring-boot-starter中使用Account接口表示账号数据、使用ShiroAccountProvider接口为鉴权操作提供Account数据，数据来源不限比如可以从数据库、文件、LDAP、远程服务等各种方式加载。

权限验证的过程需要权限数据和规则数据，权限泛指能否操作资源，角色是权限的集合，如果使用权限来表示一个用户能操作的资源显然不方便，所以大部分系统的安全模型都是基于RBAC(Role-Based Access Control 基于角色的权限访问控制)的。jsets-shiro-spring-boot-starter同样使用ShiroAccountProvider接口为鉴权操作提供权限(角色)数据，数据来源不限。

具体参见"使用说明--接入用户数据"一章。

规则数据，如果没有规则就不存在判断，权限验证也就无从谈起，在shiro中规则表示成这样：

article/update=roles[role_editor]
article/delete=roles[role_chief]
article/publish=roles[role_chief]

"article/update"就是操作的资源，"roles[role_editor]"是判断标准，表示用户的角色列表中包含"role_editor"角色，操作加上判断标准就是规则。jsets-shiro-spring-boot-starter中您可以在application.properties中配置这样的规则。也可以通过shiro的AOP方式配置规则，类似于这样：

@RequiresRoles("role_editor")
public void update(Article article){
}

这两种方式是有局限的，比如角色-资源的对应关系发生变更，比如新增了一种角色，那就只能修改配置或者代码然后重启动系统才能使得这些变更生效。实际开发中则更希望通数据库查询出角色-资源的对应数据，动态生成URL规则，当角色-资源的对应关系发生变更时能刷新并立即用户这些规则。

您可以通过ShiroFilteRulesProvider接口为鉴权操作提供规则数据，并且支持实时刷新应用这些规则。

具体参见"使用说明--动态URL过滤"一章。

无状态鉴权

无状态(Stateless)鉴权通常应用在微服务(REST API)架构中，使用数字摘要(签名)技术生成一个token作为认证和授权的凭证，整个认证和授权过程不依赖于cookie或session，服务端不保留客户端状态因此每次请求都要携带这个token。

jsets-shiro-spring-boot-starter提供两种无状态鉴权方式，分别是散列消息认证码(HMAC)、JSON WEB TOKEN(JWT)。

HMAC适合端到端的鉴权，即客户端拿着签名让服务端进行验签。
JWT适合客户端询问系统B是否有权访问系统C和系统N如果有请开份凭证，然后拿着凭证让系统C和系统N进行验签。

JWT是自包含的，令牌中携带访问主张(角色或权限)，所以JWT鉴权不需要查询数据。HMAC鉴权则需要查询数据库获取角色或权限数据。HMAC和JWT鉴权过程均不产生session。

如果您的系统即有状态鉴权(即基于FORM的登陆认证)又有无状态鉴权(即提供rest接口)，毕竟不是所有的系统都做了服务化拆分的，默认情况下HMAC也是使用ShiroAccountProvider接口为鉴权操作提供身份认证和权限验证数据，和有状态鉴权公用一套数据。如您想拆分它们，即HMAC使用自己的鉴权数据，可以使用ShiroStatelessAccountProvider为无状态鉴权提供数据。

具体参见"使用说明--无状态鉴权"一章。