shiro缓存配置
㈠ ssm框架访问控制应该怎么做
这个就在在人员表了添加一个身份的字段 user_rank ,用这个来控制。用户登录到时候就会用登录信息，把这个 user_rank 字段带出来，在页面或者链接时候加上判断，哈这是简单的，看下官方的。
shiro安全框架是目前为止作为登录注册最常用的框架，因为它十分的强大简单，提供了认证、授权、加密和会话管理等功能 。
shiro能做什么？
认证：验证用户的身份
授权：对用户执行访问控制：判断用户是否被允许做某事
会话管理：在任何环境下使用 Session API，即使没有 Web 或EJB 容器。
加密：以更简洁易用的方式使用加密功能，保护或隐藏数据防止被偷窥
Realms：聚集一个或多个用户安全数据的数据源
单点登录（SSO）功能。
为没有关联到登录的用户启用 "Remember Me“ 服务
Shiro 的四大核心部分
Authentication(身份验证)：简称为“登录”，即证明用户是谁。
Authorization(授权)：访问控制的过程，即决定是否有权限去访问受保护的资源。
Session Management(会话管理)：管理用户特定的会话，即使在非 Web 或 EJB 应用程序。
Cryptography(加密)：通过使用加密算法保持数据安全
shiro的三个核心组件：
Subject：正与系统进行交互的人，或某一个第三方服务。所有 Subject 实例都被绑定到（且这是必须的）一个SecurityManager 上。
SecurityManager：Shiro 架构的心脏，用来协调内部各安全组件，管理内部组件实例，并通过它来提供安全管理的各种服务。当 Shiro 与一个 Subject 进行交互时，实质上是幕后的 SecurityManager 处理所有繁重的 Subject 安全操作。
Realms：本质上是一个特定安全的 DAO。当配置 Shiro 时，必须指定至少一个 Realm 用来进行身份验证和/或授权。Shiro 提供了多种可用的 Realms 来获取安全相关的数据。如关系数据库(JDBC)，INI 及属性文件等。可以定义自己 Realm 实现来代表自定义的数据源。
shiro整合SSM框架：
1.加入 jar 包：以下jar包自行网络下载
准备好了，接下来要写Realm方法了，新建shiro包，在包下新建MyRealm.java文件继承AuthorizingRealm
package shiro;import org.apache.shiro.authc.AuthenticationException;import org.apache.shiro.authc.AuthenticationInfo;import org.apache.shiro.authc.AuthenticationToken;import org.apache.shiro.authc.SimpleAuthenticationInfo;import org.apache.shiro.authc.credential.HashedCredentialsMatcher;import org.apache.shiro.authz.AuthorizationInfo;import org.apache.shiro.authz.SimpleAuthorizationInfo;import org.apache.shiro.crypto.hash.Md5Hash;import org.apache.shiro.crypto.hash.SimpleHash;import org.apache.shiro.realm.AuthorizingRealm;import org.apache.shiro.subject.PrincipalCollection;import org.apache.shiro.util.ByteSource;import org.springframework.beans.factory.annotation.Autowired;import bean.user;import .user;public class MyRealm extends AuthorizingRealm {
@Autowired private user user;
String pass; /**
* 授权:
*
*/
@Override protected AuthorizationInfo doGetAuthorizationInfo(PrincipalCollection principalCollection) {
SimpleAuthorizationInfo info = new SimpleAuthorizationInfo();
Object principal = principalCollection.getPrimaryPrincipal();//获取登录的用户名
if("admin".equals(principal)){ //两个if根据判断赋予登录用户权限
info.addRole("admin");
} if("user".equals(principal)){
info.addRole("list");
}
info.addRole("user");
return info;
} /*
* 用户验证
*
*/
@Override protected AuthenticationInfo doGetAuthenticationInfo(AuthenticationToken token) throws AuthenticationException {
//1. token 中获取登录的 username! 注意不需要获取password.
Object principal = token.getPrincipal();
//2. 利用 username 查询数据库得到用户的信息.
user user=user.findbyname((String) principal); if(user!=null){
pass=user.getPass();
}
String credentials = pass; //3.设置盐值 ，（加密的调料，让加密出来的东西更具安全性，一般是通过数据库查询出来的。 简单的说，就是把密码根据特定的东西而进行动态加密，如果别人不知道你的盐值，就解不出你的密码）
String source = "abcdefg";
ByteSource credentialsSalt = new Md5Hash(source);
//当前 Realm 的name
String realmName = getName(); //返回值实例化
SimpleAuthenticationInfo info =
new SimpleAuthenticationInfo(principal, credentials,
credentialsSalt, realmName);
return info;
} //init-method 配置.
public void setCredentialMatcher(){
HashedCredentialsMatcher credentialsMatcher = new HashedCredentialsMatcher();
credentialsMatcher.setHashAlgorithmName("MD5");//MD5算法加密
credentialsMatcher.setHashIterations(1024);//1024次循环加密
setCredentialsMatcher(credentialsMatcher);
}
//用来测试的算出密码password盐值加密后的结果，下面方法用于新增用户添加到数据库操作的，我这里就直接用main获得，直接数据库添加了，省时间
public static void main(String[] args) {
String saltSource = "abcdef";
String hashAlgorithmName = "MD5";
String credentials = "passwor";
Object salt = new Md5Hash(saltSource); int hashIterations = 1024;
Object result = new SimpleHash(hashAlgorithmName, credentials, salt, hashIterations);
System.out.println(result);
}
}
好了，接下来我们写一个简单的action来通过shiro登录验证。
//登录认证
@RequestMapping("/shiro-login") public String login(@RequestParam("username") String username,
@RequestParam("password") String password){
Subject subject = SecurityUtils.getSubject();
UsernamePasswordToken token = new UsernamePasswordToken(username, password);
try { //执行认证操作. subject.login(token);
}catch (AuthenticationException ae) {
System.out.println("登陆失败: " + ae.getMessage()); return "/index";
}
return "/shiro-success";
}
//温馨提示：记得在注册中密码存入数据库前也记得加密哦，提供一个utils方法//进行shiro加密，返回加密后的结果public static String md5(String pass){
String saltSource = "blog";
String hashAlgorithmName = "MD5";
Object salt = new Md5Hash(saltSource);int hashIterations = 1024;
Object result = new SimpleHash(hashAlgorithmName, pass, salt, hashIterations);
String password = result.toString();return password;
}
好了，shiro登录验证到这里完了
㈡ SpringBoot + Shiro (四)缓存&记住密码
最终demo
到这节为止，我们已经实现了身份验证和权限验证。但是，如果我们登录之后多次访问 http://localhost:8080/userInfo/userDel 的话，会发现权限验证会每次都执行一次。这是有问题的，因为像用户的权限这些我们提供给shiro一次就够了。
下面，我们开始给shiro添加缓存支持：
在 com.example.demo.config.Shiro.ShiroConfiguration 中添加以下方法。
将缓存对象注入到 SecurityManager 中：
在src/main/resouces/config中添加ehcache-shiro.xml配置文件：
启动项目，再多次访问 http://localhost:8080/userInfo/userDel ，这时候只会在后台打印一次配置权限的信息了，说明shiro缓存起了作用。
---------------------下面我们开始配置记住密码-----------
将rememberMeManager注入到SecurityManager中
在 ShiroFilterFactoryBean 中添加记住我过滤器 user ，添加 user 过滤器的资源在记住我或认证之后就可以直接访问了。
最后，在login.html页面添加记住我单选框
启动项目，正常登录后关闭浏览器，再打开浏览器输入 http://localhost:8080/index ，这时候就可以直接访问index页面，不需要再登录了。
SpringBoot + Shiro (一)基础工程搭建
SpringBoot + Shiro (二)身份校验和角色设置
SpringBoot + Shiro (三)权限
SpringBoot + Shiro (四)缓存&记住密码
SpringBoot + Shiro (五)验证码
最后，感谢几位作者的文章解惑：
springboot整合shiro-登录认证和权限管理
Spring Boot Shiro权限管理【从零开始学Spring Boot】
Spring boot 中使用Shiro
最后帮朋友打个小广告
一个有趣的迷你小程序
㈢ SpringBoot进阶之整合Shiro实现缓存和会话管理
大家好，一直以来我都本着用最通俗的话理解核心的知识点, 我认为所有的难点都离不开 “基础知识” 的铺垫。目前正在出一个 SpringBoot 长期系列教程，从入门到进阶, 篇幅会较多~
“大佬可以绕过 ~”
如果你是一路看过来的，很高兴你能够耐心看完。之前带大家学了 Springboot 基础部分，对基本的使用有了初步的认识, 接下来的几期内容将会带大家进阶使用，会先讲解基础 中间件 的使用和一些场景的应用，或许这些技术你听说过，没看过也没关系，我会带大家一步一步的入门，耐心看完你一定会有 收获 ~
上期带大家学习了 Shiro 中如何进行权限认证，本期将带大家学习 Shiro 中如何进行 缓存和会话管理 ，最后我们将做一个在线用户管理以及强制下线用户的功能，同样的，我们集成到 Springboot 中。
首先我们要明白使用缓存的原因，为啥要用它 还记得之前带大家实现的 用户认证 和 权限认证 吗，那里我使用了 MockUser ，真实场景中是要去数据查询的，这样一来就会产生耗时，请求多的时候数据库肯定忙不过来了，所以我们需要使用缓存来提高程序响应速度
缓存使用 Redis ,下面就带大家整一下:
修改 ShiroConfig ,添加方法
这样就可以了，大家可以把测试获取用户的地方改成数据库获取，看下 控制台 sql日志会明显减少，因为有一部分是从缓存拿的
这部分功能还是比较好玩的，学完可以自由发挥做一个房间功能,可以加入可以踢人,下面我们就开整
修改 ShiroConfig ,添加方法，因为我们使用的是 Redis 缓存
实现 SessionListener
最后同样的，想要开启需要我们注入到 Manager 中:
我们先定义一个类，用来记录在线用户:
那么怎么获取呢？我们定义一个方法,大家实践中可以抽到 Service 层,这里方便演示，我直接写到控制器里
如果你看谁不爽，可以直接让他下线，hhh~
是不是很简单,这里就不演示了，大家自行试试
本期内容就到这里结束了，总结一下，本节主要讲了 Shiro 如何进行缓存以及如何进行用户会话管理，大家可以举一反三，做一些小功能尝试尝试
下期给大家讲讲 Shiro 中如何整合 JWT ，这个大家应该不陌生，如果不知道啥是 JWT 也没关系，我会带大家一步一步入门，下期也是 Shiro 系列的终极篇，内容可能有点多，耐心看完哦。欢迎加群一起学习交流 ~