大家好，我是 V 哥。Apache Shiro 是一个强大且灵活的 Java 安全框架，专注于提供认证、授权、会话管理和加密功能。它常用于保护 Java 应用的访问控制，特别是在 Web 应用中。相比于 Spring Security，Shiro 的设计更简洁，适合轻量级应用，并且在许多方面具有更好的易用性和扩展性，今天 V 哥就来聊聊 Shiro 安全框架。
Shiro 的核心概念
按照惯例，和 V 哥一起来了解一下 Shiro 的核心概念：
-
Subject
Subject 是 Shiro 框架中一个核心的接口，表示应用中的“用户”或“实体”，用于交互和存储认证状态。通常通过SecurityUtils.getSubject()获取当前的 Subject。它代表了用户的身份信息和权限数据。 -
SecurityManager
SecurityManager 是 Shiro 的核心控制器，负责管理所有的安全操作和认证。通过配置 SecurityManager，可以控制用户的认证、授权、会话等管理。 -
Realm
Realm 是 Shiro 从数据源获取用户、角色和权限信息的途径。通过实现自定义的 Realm，可以将 Shiro 与数据库、LDAP、文件等数据源整合。Shiro 会把用户的认证和授权数据从 Realm 中获取。 -
Session
Shiro 自带会话管理，不依赖于 Servlet 容器提供的会话。即使在非 Web 环境下，也可以使用 Shiro 的会话管理。Shiro 的会话管理提供了更细致的控制，比如会话超时、存储和共享等功能。 -
Authentication（认证）
认证是指验证用户身份的过程。Shiro 提供了简单的 API 来实现认证过程，比如subject.login(token)。在实际应用中，通常通过用户名和密码的组合进行认证，但 Shiro 也支持其他方式（如 OAuth2、JWT 等）。 -
Authorization（授权）
授权是指验证用户是否具备某些权限或角色的过程。Shiro 支持基于角色和基于权限的授权，允许更精细的权限控制。通过subject.hasRole或subject.isPermitted方法，开发者可以检查用户的角色和权限。 -
Cryptography（加密）
Shiro 内置了加密功能，提供对密码和敏感信息的加密和解密支持。它支持多种加密算法，并且在密码存储时支持散列和盐值。
Shiro 的主要功能和优势
V 哥总结几点Shiro 的主要功能和优势，这个在面试时吹牛逼用得到。
-
易于集成
Shiro 的 API 设计简单，易于集成到各种 Java 应用中。开发者可以基于 Shiro 提供的默认实现快速搭建一个基本的安全架构，也可以根据需要自定义各种功能。 -
独立的会话管理
与基于 Web 容器的会话管理不同，Shiro 提供了跨环境的会话管理，可以应用于 Web 和非 Web 的环境，增加了应用的灵活性。 -
权限控制简单而灵活
Shiro 的权限管理可以通过配置文件、注解或代码实现，提供了细粒度的访问控制。通过权限和角色的组合，开发者可以非常灵活地控制访问权限。 -
支持多种数据源
Shiro 可以从多种数据源（如数据库、LDAP、文件等）获取用户和权限信息，方便与各种现有系统整合。 -
支持 Web 和非 Web 环境
Shiro 不仅可以在 Web 应用中使用，也支持在桌面应用或微服务等环境中使用。
Shiro 的基本使用示例
光讲概念不是 V 哥风格，接下来，通过一个典型的 Shiro 应用来了解一下如何使用，包含配置 SecurityManager、配置 Realm、进行认证和授权等步骤。
- 配置 Shiro 环境
可以通过shiro.ini文件配置 Shiro，也可以通过代码进行配置。
[main] # 配置 SecurityManager securityManager = org.apache.shiro.mgt.DefaultSecurityManager # 配置 Realm myRealm = com.wg.MyCustomRealm securityManager.realms = $myRealm -
创建自定义 Realm
自定义 Realm 通过继承
AuthorizingRealm并实现doGetAuthenticationInfo和doGetAuthorizationInfo方法来提供用户和权限数据。
public class MyCustomRealm extends AuthorizingRealm { @Override protected AuthenticationInfo doGetAuthenticationInfo(AuthenticationToken token) throws AuthenticationException { // 获取用户名和密码等信息，查询数据库进行认证 return new SimpleAuthenticationInfo(username, password, getName()); } @Override protected AuthorizationInfo doGetAuthorizationInfo(PrincipalCollection principals) { // 获取用户角色和权限信息 SimpleAuthorizationInfo info = new SimpleAuthorizationInfo(); info.addRole("admin"); info.addStringPermission("user:read"); return info; } } - 使用 Shiro 进行认证和授权
Subject currentUser = SecurityUtils.getSubject(); if (!currentUser.isAuthenticated()) { UsernamePasswordToken token = new UsernamePasswordToken("username", "password"); try { currentUser.login(token); System.out.println("认证成功"); } catch (AuthenticationException ae) { System.out.println("认证失败"); } } // 检查权限 if (currentUser.hasRole("admin")) { //用输出模拟一下哈 System.out.println("用户拥有 admin 角色"); } if (currentUser.isPermitted("user:read")) { //用输出模拟一下哈 System.out.println("用户具有 user:read 权限"); } 通过这个简单的案例学习，咱们可以了解 Shiro 的基本使用，但这不是全部，听V哥继续慢慢道来。
场景案例
这点很重要，强调一下哈，Shiro 适合需要简洁易用、安全控制要求灵活的 Java 应用，如中小型 Web 应用、桌面应用、分布式微服务等。对于大型企业应用或需要集成多种认证方式（如 OAuth2、JWT 等）的项目，Spring Security 可能会更合适。
要在微服务架构中实现基于 Apache Shiro 的安全认证和授权，比如一个订单管理系统为例。这个系统包含两个主要服务：
- 用户服务：负责用户的注册、登录、认证等操作。
- 订单服务：允许用户创建、查看、删除订单，并限制访问权限。
咱们来看一下，这个应该怎么设计呢？
微服务案例设计
在这个场景中，我们需要以下几项核心功能：
- 用户认证：用户通过用户名和密码登录。
- 权限控制：仅管理员能删除订单，普通用户只能查看和创建订单。
- Token机制：使用 JWT Token（JSON Web Token）来管理用户的登录状态，实现无状态认证，使得在分布式环境下不依赖于单一会话。
- 跨服务认证：订单服务在接收到请求时，检查并验证用户的身份和权限。
架构和技术选型
- Spring Boot：用于快速搭建微服务。
- Shiro：实现认证、授权。
- JWT：生成和验证 Token，保持无状态认证。
- Spring Data JPA：访问数据库存储用户和订单数据。
系统结构
+------------------+ +---------------------+ | 用户服务 | | 订单服务 | | | | | | 用户注册、登录 | | 查看、创建、删除订单| +------------------+ +---------------------+ | | |----用户 Token ------| 步骤：实现微服务中的认证和授权
1. 引入必要的依赖
在 pom.xml 文件中，添加 Shiro、JWT 和 Spring Data JPA 等依赖：
<dependency> <groupId>org.apache.shiro</groupId> <artifactId>shiro-spring</artifactId> <version>1.8.0</version> </dependency> <dependency> <groupId>io.jsonwebtoken</groupId> <artifactId>jjwt</artifactId> <version>0.9.1</version> </dependency> <dependency> <groupId>org.springframework.boot</groupId> <artifactId>spring-boot-starter-data-jpa</artifactId> </dependency> <dependency> <groupId>org.springframework.boot</groupId> <artifactId>spring-boot-starter-web</artifactId> </dependency> <dependency> <groupId>com.h2database</groupId> <artifactId>h2</artifactId> </dependency> 2. 配置 Shiro 与 JWT 过滤器
使用 Shiro 的自定义 JWT 过滤器实现无状态认证，通过 Token 验证用户。
public class JwtFilter extends BasicHttpAuthenticationFilter { @Override protected boolean isAccessAllowed(ServletRequest request, ServletResponse response, Object mappedValue) { HttpServletRequest httpServletRequest = (HttpServletRequest) request; String token = httpServletRequest.getHeader("Authorization"); if (StringUtils.isBlank(token)) { return false; } try { // 解析 JWT token JwtToken jwtToken = new JwtToken(token); getSubject(request, response).login(jwtToken); return true; } catch (Exception e) { return false; } } } 3. 实现自定义 Realm
自定义 Realm，从数据库获取用户和角色信息，并使用 JWT Token 进行无状态认证。
public class JwtRealm extends AuthorizingRealm { @Override public boolean supports(AuthenticationToken token) { return token instanceof JwtToken; } @Override protected AuthenticationInfo doGetAuthenticationInfo(AuthenticationToken token) throws AuthenticationException { String jwtToken = (String) token.getPrincipal(); // 验证 Token String username = JwtUtil.getUsernameFromToken(jwtToken); if (username == null) { throw new AuthenticationException("Token 无效"); } // 查询用户 User user = userService.findByUsername(username); if (user == null) { throw new AuthenticationException("用户不存在"); } return new SimpleAuthenticationInfo(jwtToken, jwtToken, getName()); } @Override protected AuthorizationInfo doGetAuthorizationInfo(PrincipalCollection principals) { String username = JwtUtil.getUsernameFromToken(principals.toString()); SimpleAuthorizationInfo authorizationInfo = new SimpleAuthorizationInfo(); User user = userService.findByUsername(username); // 添加角色和权限 authorizationInfo.addRole(user.getRole()); authorizationInfo.addStringPermission(user.getPermission()); return authorizationInfo; } } 4. 创建 JWT 工具类
编写一个工具类，用于生成和解析 JWT Token。
public class JwtUtil { //这里替换一下你自己的secret_key private static final String SECRET_KEY = "这里打码了"; public static String generateToken(String username) { return Jwts.builder() .setSubject(username) .setIssuedAt(new Date()) .setExpiration(new Date(System.currentTimeMillis() + 3600000)) // 1 hour .signWith(SignatureAlgorithm.HS256, SECRET_KEY) .compact(); } public static String getUsernameFromToken(String token) { Claims claims = Jwts.parser() .setSigningKey(SECRET_KEY) .parseClaimsJws(token) .getBody(); return claims.getSubject(); } public static boolean isTokenExpired(String token) { Claims claims = Jwts.parser() .setSigningKey(SECRET_KEY) .parseClaimsJws(token) .getBody(); return claims.getExpiration().before(new Date()); } } 5. 编写用户服务和订单服务接口
用户服务接口
用户服务提供注册和登录 API。
@RestController @RequestMapping("/user") public class UserController { @PostMapping("/register") public ResponseEntity<?> register(@RequestBody User user) { userService.save(user); return ResponseEntity.ok("用户注册成功"); } @PostMapping("/login") public ResponseEntity<?> login(@RequestBody User user) { User dbUser = userService.findByUsername(user.getUsername()); if (dbUser != null && dbUser.getPassword().equals(user.getPassword())) { String token = JwtUtil.generateToken(user.getUsername()); return ResponseEntity.ok(token); } return ResponseEntity.status(HttpStatus.UNAUTHORIZED).body("登录失败"); } } 订单服务接口
订单服务在操作订单时会验证用户的角色和权限。
@RestController @RequestMapping("/order") public class OrderController { @GetMapping("/{orderId}") public ResponseEntity<?> getOrder(@PathVariable Long orderId) { Subject currentUser = SecurityUtils.getSubject(); if (currentUser.isPermitted("order:read")) { // 查询订单 return ResponseEntity.ok("订单详情"); } return ResponseEntity.status(HttpStatus.FORBIDDEN).body("无权限查看订单"); } @DeleteMapping("/{orderId}") public ResponseEntity<?> deleteOrder(@PathVariable Long orderId) { Subject currentUser = SecurityUtils.getSubject(); if (currentUser.hasRole("admin")) { // 删除订单 return ResponseEntity.ok("订单已删除"); } return ResponseEntity.status(HttpStatus.FORBIDDEN).body("无权限删除订单"); } } 最后
这个案例中咱们通过如何使用 Shiro、JWT 和 Spring Boot 来构建一个无状态的微服务认证授权机制。通过 Shiro 实现用户认证和权限控制，使用 JWT 实现无状态 Token 验证。在轻量级的分布式微服务应用中，是不是使用 Shiro 感觉更加清爽呢，欢迎评论区一起讨论，关注威哥爱编程，爱上Java，一辈子。
