凹核源码网

开源项目代码分享平台_开发者技术交流社区

2025年09月12日

深入探究 Spring Boot 3 中整合 Apache Shiro 的鉴权机制

在当今互联网软件开发的浪潮中，构建安全可靠的应用程序是开发者们的首要任务之一。对于使用 Spring Boot 3 框架的开发者而言，如何高效地实现权限管理至关重要。Apache Shiro 作为一款强大且易用的 Java 安全框架，与 Spring Boot 3 的整合为我们提供了优雅的鉴权解决方案。本文将深入探讨在 Spring Boot 3 中整合 Apache Shiro 之后的鉴权方式，帮助广大互联网软件开发人员掌握这一关键技术。

Apache Shiro 简介

Apache Shiro 是一个功能强大、灵活且开源的安全框架，它致力于简化应用程序的安全管理。Shiro 能够干净利落地处理身份验证、授权、企业会话管理和加密等核心安全功能。其设计理念是屏蔽安全领域的复杂性，为开发者提供简单、直观的 API，从而大大减少实现应用程序安全所需的时间和精力。无论是小型的命令行应用，还是大型的企业级应用，Shiro 都能轻松适配，并且无需依赖第三方框架、容器或应用服务器，当然它也能很好地融入这些环境中。

Shiro 将应用安全的核心功能归纳为四大基石，分别是 Authentication（认证）、Authorization（授权）、Session Management（会话管理）和 Cryptography（加密）。在本文中，我们重点关注的是授权（Authorization）部分，也就是鉴权机制，它决定了用户在通过身份认证后，能够访问哪些资源以及执行哪些操作。

Spring Boot 3 与 Apache Shiro 整合的背景

随着 Spring Boot 3 的发布，它引入了对 Jakarta EE 的支持，底层依赖从javax.*包迁移到了jakarta.*包。然而，截至目前，Apache Shiro 的最新版本在构建时仍然基于javax.*包体系，尚未完全适配到jakarta.*包体系，这就导致了两者之间存在直接的不兼容问题。例如，Shiro 的核心组件如ServletFilter和SessionManager无法直接正确集成到 Spring Boot 3 的应用程序中。

此外，Spring Boot 3 对依赖版本进行了严格限制，许多旧版库可能不再被支持或需要额外配置才能正常工作。而 Shiro 作为一个较为成熟的框架，其更新速度相对较慢，这进一步加剧了与 Spring Boot 3 的兼容性问题。不过，通过一些特定的方法，我们仍然可以实现两者的整合并充分利用 Shiro 的鉴权功能。

Shiro 鉴权的基础概念

在深入了解 Shiro 在 Spring Boot 3 中的鉴权实现之前，我们先来明确一些基础概念。

（一）授权的本质

授权，简单来说，就是在用户通过身份认证之后，系统根据用户所拥有的权限来控制其对资源的访问。例如，在一个企业级应用中，普通员工可能只能查看自己的工作任务和相关数据，而管理员则拥有对整个系统的全面管理权限。Shiro 支持两种常见的访问控制模型，即基于角色的访问控制（RBAC）和基于资源的访问控制（RBAC）。在 RBAC 模型中，权限与角色相关联，用户通过被分配到特定角色从而获得该角色所拥有的权限。这种模型极大地简化了权限管理，因为我们只需对角色进行权限分配，而无需针对每个用户逐一设置权限。

（二）Realm 的关键作用

在 Shiro 的架构中，Realm 扮演着至关重要的角色。它是 Shiro 与应用程序的安全数据源（如数据库、LDAP 等）之间的桥梁，负责进行权限信息的验证。我们通常需要自定义 Realm，通过实现其认证（authentication）和授权（authorization）方法，从数据源中获取用户的权限信息，并将其提供给 Shiro 进行鉴权。可以说，Realm 本质上是一个特定的安全数据访问对象（DAO），它封装了与数据源连接的细节，为 Shiro 提供所需的相关数据。在配置 Shiro 时，我们必须指定至少一个 Realm 来实现认证和授权功能。

（三）过滤器与注解的鉴权方式

过滤器配置鉴权

Shiro 可以通过过滤器来配置鉴权规则。例如，perms过滤器表示用户必须拥有特定权限才能访问某个资源；roles过滤器则要求用户具有特定角色才能访问。我们可以通过ShiroFilterFactoryBean来设置拦截规则，如下所示：

@Bean
public ShiroFilterFactoryBean shiroFilterFactoryBean(SecurityManager securityManager) {
    ShiroFilterFactoryBean shiroFilterFactoryBean = new ShiroFilterFactoryBean();
    shiroFilterFactoryBean.setSecurityManager(securityManager);
    Map<String, String> filterChainDefinitionMap = new LinkedHashMap<>();
    // 配置不需要拦截的路径
    filterChainDefinitionMap.put("/login", "anon");
    // 配置需要认证的路径
    filterChainDefinitionMap.put("/**", "authc");
    // 配置需要特定权限才能访问的路径
    filterChainDefinitionMap.put("/admin/**", "perms[admin:manage]");
    shiroFilterFactoryBean.setFilterChainDefinitionMap(filterChainDefinitionMap);
    return shiroFilterFactoryBean;
}

在上述代码中，我们定义了不同路径对应的过滤器规则。例如，/login路径允许匿名访问（anon过滤器），而/**路径下的所有资源都需要用户进行身份认证（authc过滤器），/admin/**路径则要求用户必须拥有admin:manage权限才能访问。

注解配置鉴权

Shiro 还提供了一些鉴权注解，方便我们在代码中进行权限控制。例如，@RequiresRoles注解表示认证用户必须拥有特定角色才能访问被注解的方法或资源；@RequiresPermissions注解则要求认证用户拥有特定权限才能访问。在使用这些注解之前，我们需要在配置类中开启 Shiro 注解功能，如下所示：

@Configuration
public class ShiroConfig {
    // 其他配置方法...

    @Bean
    public AuthorizationAttributeSourceAdvisor authorizationAttributeSourceAdvisor(SecurityManager securityManager) {
        AuthorizationAttributeSourceAdvisor advisor = new AuthorizationAttributeSourceAdvisor();
        advisor.setSecurityManager(securityManager);
        return advisor;
    }
}

然后，我们就可以在控制器或服务类中使用这些注解，例如：

@RestController
@RequestMapping("/api")
public class ExampleController {
    @RequiresPermissions("user:list")
    @GetMapping("/users")
    public ResponseEntity<List<User>> getUsers() {
        // 处理获取用户列表的业务逻辑
        List<User> userList = userService.getAllUsers();
        return ResponseEntity.ok(userList);
    }

    @RequiresRoles("admin")
    @PostMapping("/user")
    public ResponseEntity<String> createUser(@RequestBody User user) {
        // 处理创建用户的业务逻辑
        userService.createUser(user);
        return ResponseEntity.ok("User created successfully");
    }
}

在上述代码中，getUsers方法需要用户拥有user:list权限才能访问，而createUser方法则要求用户具有admin角色。

Spring Boot 3 中整合 Shiro 实现鉴权的具体步骤

（一）添加依赖

首先，我们需要在pom.xml文件中添加 Spring Boot 和 Shiro 的相关依赖。由于 Spring Boot 3 与 Shiro 的兼容性问题，我们可能需要一些额外的配置或使用特定版本的依赖。

<dependency>
    <groupId>org.apache.shiro</groupId>
    <artifactId>shiro-spring</artifactId>
    <version>1.8.0</version>
</dependency>
<dependency>
    <groupId>org.apache.shiro</groupId>
    <artifactId>shiro-ehcache</artifactId>
    <version>1.8.0</version>
</dependency>

这里我们添加了shiro-spring依赖用于 Shiro 与 Spring 的整合，以及shiro-ehcache依赖用于缓存功能，以提高鉴权操作的性能。

（二）配置 Shiro

接下来，我们需要创建一个 Shiro 配置类，用于配置 Shiro 的安全管理器、Realm 等核心组件。

@Configuration
public class ShiroConfig {
    @Bean
    public SecurityManager securityManager() {
        DefaultWebSecurityManager securityManager = new DefaultWebSecurityManager();
        // 设置自定义Realm
        securityManager.setRealm(myRealm());
        return securityManager;
    }

    @Bean
    public Realm myRealm() {
        MyRealm realm = new MyRealm();
        // 设置密码校验规则等
        realm.setCredentialsMatcher(credentialsMatcher());
        return realm;
    }

    @Bean
    public CredentialsMatcher credentialsMatcher() {
        return new HashedCredentialsMatcher("SHA-256");
    }

    @Bean
    public ShiroFilterChainDefinition shiroFilterChainDefinition() {
        DefaultShiroFilterChainDefinition chainDefinition = new DefaultShiroFilterChainDefinition();
        // 配置不需要拦截的路径
        chainDefinition.addPathDefinition("/login", "anon");
        // 配置需要认证的路径
        chainDefinition.addPathDefinition("/**", "authc");
        return chainDefinition;
    }
}

在上述配置类中，我们首先创建了一个DefaultWebSecurityManager实例，并将自定义的MyRealm设置为其 Realm。然后，我们定义了一个CredentialsMatcher，用于设置密码的加密算法和校验规则。最后，通过
ShiroFilterChainDefinition配置了拦截路径和对应的过滤器规则。

（三）自定义 Realm

自定义 Realm 是实现鉴权的关键步骤，我们需要继承AuthorizingRealm抽象类，并实现其doGetAuthorizationInfo和doGetAuthenticationInfo方法。

public class MyRealm extends AuthorizingRealm {
    @Autowired
    private UserService userService;

    // 用户授权
    @Override
    protected AuthorizationInfo doGetAuthorizationInfo(PrincipalCollection principals) {
        String username = (String) principals.getPrimaryPrincipal();
        SimpleAuthorizationInfo authorizationInfo = new SimpleAuthorizationInfo();
        // 查询用户角色和权限，设置到AuthorizationInfo中
        User user = userService.findByUsername(username);
        authorizationInfo.addRoles(user.getRoles());
        authorizationInfo.addStringPermissions(user.getPermissions());
        return authorizationInfo;
    }

    // 用户认证
    @Override
    protected AuthenticationInfo doGetAuthenticationInfo(AuthenticationToken token) throws AuthenticationException {
        UsernamePasswordToken upToken = (UsernamePasswordToken) token;
        String username = upToken.getUsername();
        User user = userService.findByUsername(username);
        if (user != null) {
            return new SimpleAuthenticationInfo(user.getUsername(), user.getPassword(), getName());
        } else {
            throw new UnknownAccountException("用户不存在");
        }
    }
}

在doGetAuthorizationInfo方法中，我们根据当前用户的用户名从数据库中查询其对应的角色和权限信息，并将其添加到SimpleAuthorizationInfo对象中返回给 Shiro 进行授权校验。在doGetAuthenticationInfo方法中，我们根据用户输入的用户名从数据库中查询用户信息，并将用户的用户名和密码封装到SimpleAuthenticationInfo对象中返回给 Shiro 进行身份认证。

（四）控制器中使用 Shiro

在 Spring Boot 的控制器中，我们可以通过注解来实现权限控制，如前面提到的@RequiresPermissions和@RequiresRoles注解。同时，我们还可以通过 Shiro 的Subject对象来获取当前用户的信息和执行一些与安全相关的操作。

@RestController
@RequestMapping("/api")
public class ExampleController {
    @RequiresPermissions("user:list")
    @GetMapping("/users")
    public ResponseEntity<List<User>> getUsers() {
        Subject subject = SecurityUtils.getSubject();
        if (subject.isAuthenticated()) {
            // 获取当前用户信息
            User currentUser = (User) subject.getPrincipal();
            // 处理获取用户列表的业务逻辑
            List<User> userList = userService.getAllUsers();
            return ResponseEntity.ok(userList);
        } else {
            return ResponseEntity.status(HttpStatus.UNAUTHORIZED).build();
        }
    }

    @RequiresRoles("admin")
    @PostMapping("/user")
    public ResponseEntity<String> createUser(@RequestBody User user) {
        // 处理创建用户的业务逻辑
        userService.createUser(user);
        return ResponseEntity.ok("User created successfully");
    }
}

在上述代码中，getUsers方法首先通过SecurityUtils.getSubject()获取当前用户的Subject对象，然后判断用户是否已经通过身份认证。如果认证通过，则获取当前用户信息并执行获取用户列表的业务逻辑；否则返回未授权的状态码。

总结

通过以上步骤，我们成功地在 Spring Boot 3 中整合了 Apache Shiro，并实现了强大的鉴权功能。通过自定义 Realm、配置过滤器和使用注解，我们可以灵活地控制用户对应用程序资源的访问，确保系统的安全性。然而，需要注意的是，由于 Spring Boot 3 与 Shiro 之间的兼容性问题，在实际应用中可能需要根据具体情况进行一些调整和优化。

随着技术的不断发展，安全框架也在持续演进。未来，我们可以期待 Apache Shiro 能够更好地适配 Spring Boot 3 及更高版本，提供更强大、更便捷的安全解决方案。同时，作为开发者，我们也应该不断关注行业动态，学习和掌握新的安全技术，为构建更加安全可靠的互联网应用贡献自己的力量。

希望本文能够帮助广大互联网软件开发人员深入理解 Spring Boot 3 中整合 Apache Shiro 的鉴权机制，并在实际项目中灵活运用，打造出更加安全、高效的应用程序。如果你在实践过程中有任何问题或心得，欢迎在评论区留言分享。

标签：ldap account manager 

作者:aoaohe , 分类:编程文章 , 浏览:50 , 评论:0

控制面板
您好，欢迎到访网站！
  查看权限
网站分类
最新留言