java api 开发中使用 apache shiro 进行权限控制
随着互联网技术的发展，越来越多的应用程序采用了基于 API 的架构。对于这种架构来说，数据或服务都以 API 的形式暴露给外部系统或者应用程序。在这种情况下，用户权限的控制是非常重要的。本文主要介绍如何使用 Apache Shiro 来管理 Java API 中的权限问题。
Apache Shiro 的概述
Apache Shiro 是 Apache 软件基金会的一个开源框架，用于在应用程序中提供安全认证、授权、密码管理和会话管理等基本功能。Apache Shiro 是一种简单、易于使用的安全框架，使得 Java 开发者能够专注于业务逻辑而不用担心安全问题。
Apache Shiro 的主要组成部分包括：
- Subject：代表一个与我们的应用程序交互的用户，可以是人、程序、服务等。每个 Subject 都有一组安全相关的“身份”（principal），这些身份可用来表示用户的身份。
- SecurityManager：用于管理应用程序的安全操作。其主要职责是进行身份验证、授权、加密等。
- Realm：用于获取应用程序的数据，比如用户、角色、权限等等。数据可能存储在数据库、文件等等中。
- SessionManager：针对每个用户管理其会话信息，包括创建、失效、维护等。
- Session：为每个用户维护其会话信息，包括用户登录状态等。
- Cryptography：提供加密和哈希算法等安全服务。
基于上述组成部分，Shiro 提供了一套完整的安全框架，可以用于开发 Java 应用程序中的安全模块。
使用 Apache Shiro 进行权限控制
在开发 Java API 过程中，经常需要对用户进行权限控制，Shiro 提供了灵活精简的方案来实现该功能。下面介绍具体的实现方法：
- 引入 Shiro 依赖包
首先需要将 Shiro 的相关依赖包添加到项目中。例如，在 Maven 项目中，可以在 pom.xml 中添加以下代码：
<dependency><groupid>org.apache.shiro</groupid><artifactid>shiro-core</artifactid><version>1.5.3</version></dependency>
- 定义 Realm 类
在 Shiro 中，Realm 负责定义用户、角色和权限等相关数据，并将其与 Shiro 框架整合。因此，定义 Realm 类是进行权限控制的第一步。
Java JDK 25 来自 OpenJDK 官方归档，版本为 JDK 25，本条下载地址已指向官方 Windows x64 zip 安装包直链，适合调试旧项目或兼容旧版 Java 运行环境。
我们可以自定义一个 Realm 类，来实现从数据库中获取用户相关信息的功能，如下所示：
public class MyRealm extends AuthorizingRealm {
// 根据用户名获取用户即其角色、权限等相关信息
protected AuthorizationInfo doGetAuthorizationInfo(PrincipalCollection principalCollection) {
// 获取当前用户的身份信息
String username = (String) principalCollection.getPrimaryPrincipal();
// 从数据库中查询用户及其角色
User user = userService.loadByUsername(username);
List<role> roles = roleService.getRolesByUsername(username);
// 添加角色
List<string> roleNames = new ArrayList();
for (Role role : roles) {
roleNames.add(role.getName());
}
SimpleAuthorizationInfo info = new SimpleAuthorizationInfo();
info.addRoles(roleNames);
// 添加权限
List<string> permissionNames = new ArrayList();
for (Role role : roles) {
List<permission> permissions = permissionService.getPermissionsByRoleId(role.getId());
for (Permission permission : permissions) {
permissionNames.add(permission.getName());
}
}
info.addStringPermissions(permissionNames);
return info;
}
// 根据用户名和密码验证用户
protected AuthenticationInfo doGetAuthenticationInfo(AuthenticationToken authenticationToken) throws AuthenticationException {
// 获取用户提交的身份信息
String username = (String) authenticationToken.getPrincipal();
String password = new String((char[]) authenticationToken.getCredentials());
// 根据用户名查询用户
User user = userService.loadByUsername(username);
if (user == null) {
throw new UnknownAccountException();
}
// 验证用户密码
String encodedPassword = hashService.hash(password, user.getSalt());
if (!user.getPassword().equals(encodedPassword)) {
throw new IncorrectCredentialsException();
}
// 如果验证成功，则返回一个身份信息
SimpleAuthenticationInfo info = new SimpleAuthenticationInfo(username, password, getName());
return info;
}
}</permission></string></string></role>
在上述代码中，我们通过实现 AuthorizingRealm 抽象类提供的 doGetAuthorizationInfo 方法和 doGetAuthenticationInfo 方法来获取用户的角色和权限信息，以及验证用户的身份。这些方法中都会调用 UserService、RoleService、PermissionService 等服务层来查询数据库中的相关信息，以便获取用户数据。
- 配置 Shiro Filter
在 Java API 中，我们可以配置 Shiro Filter 对请求进行拦截，实现对用户权限的控制。Shiro Filter 是一个 Servlet 过滤器，可以用于在 Web 应用中进行权限过滤、会话管理等。
在配置 Shiro Filter 时，我们需要配置 Shiro 的安全管理器、自定义的 Realm 类、编写好的登录页面等等。示例如下所示：
@Configuration
public class ShiroConfig {
@Bean
public ShiroFilterFactoryBean shirFilter(SecurityManager securityManager) {
ShiroFilterFactoryBean shiroFilter = new ShiroFilterFactoryBean();
shiroFilter.setSecurityManager(securityManager);
// 设置登录URL
shiroFilter.setLoginUrl("/login");
// 设置无权访问的URL
shiroFilter.setUnauthorizedUrl("/unauthorized");
// 配置拦截器规则
Map<string> filterChainDefinitionMap = new LinkedHashMap();
filterChainDefinitionMap.put("/login", "anon");
filterChainDefinitionMap.put("/logout", "logout");
filterChainDefinitionMap.put("/home", "authc");
filterChainDefinitionMap.put("/admin/**", "roles[admin]");
filterChainDefinitionMap.put("/**", "authc");
shiroFilter.setFilterChainDefinitionMap(filterChainDefinitionMap);
return shiroFilter;
}
@Bean
public SecurityManager securityManager(MyRealm myRealm) {
DefaultWebSecurityManager securityManager = new DefaultWebSecurityManager();
securityManager.setRealm(myRealm);
return securityManager;
}
@Bean
public MyRealm myRealm(HashService hashService,
UserService userService,
RoleService roleService,
PermissionService permissionService) {
return new MyRealm(userService, roleService, permissionService, hashService);
}
@Bean
public HashService hashService() {
return new SimpleHashService();
}
}</string>
在上述代码中，我们使用 @Configuration 注解定义了一个 ShiroConfig 类，用于配置 Shiro 相关的参数。在这个类中，我们定义了 shirFilter() 方法、securityManager() 方法以及 myRealm() 方法，用于配置 Shiro 过滤器、安全管理器以及自定义 Realm 类。在对应的方法中，我们可以通过依赖注入的方式，使用 UserService、RoleService、PermissionService、HashService 等依赖来注入相关的服务，以实现权限控制和用户验证。
- 在 Java API 中使用 Shiro 进行权限控制
在完成上述步骤后，我们就可以在 Java API 中使用 Shiro 进行权限控制了。在具体实现时，我们可以使用 Shiro 提供的 Subject 类来表示当前用户。我们可以通过该类的 hasRole()、isPermitted() 等方法来检查用户是否拥有某个角色或权限。以下是一个例子：
@Controller
public class ApiController {
@RequestMapping("/api/test")
@ResponseBody
public String test() {
Subject currentUser = SecurityUtils.getSubject();
if (currentUser.hasRole("admin")) {
return "Hello, admin!";
} else if (currentUser.isAuthenticated()) {
return "Hello, user!";
} else {
return "Please login first!";
}
}
}
在上述代码中，我们定义了一个 ApiController 类，并在其中定义了一个 test() 方法。在该方法中，我们首先获取当前用户 Subject 对象，然后通过调用 hasRole()、isPermitted() 等方法来进行权限判断。
总结
Java API 开发中，权限控制是一个非常重要的问题。Apache Shiro 提供了一套方便易用的安全框架，可以帮助 Java 开发者快速实现用户认证、授权、密码管理和会话管理等功能。通过本文的介绍，希望读者能够清楚地了解如何在 Java API 开发中使用 Shiro 来实现权限控制的功能。
大量免费API接口：立即使用
涵盖生活服务API、金融科技API、企业工商API、等相关的API接口服务。免费API接口可安全、合规地连接上下游，为数据API应用能力赋能！
