Shiro權限管理架構詳解

1 權限管理1.1 什麼是權限管理

基本上涉及到使用者參與的系統都要進行權限管理，權限管理屬于系統安全的範疇，權限管理實作對使用者通路系統的控制，按照安全規則或者安全政策控制使用者可以通路而且隻能通路自己被授權的資源。

權限管理包括使用者身份認證和授權兩部分，簡稱認證授權。對于需要通路控制的資源使用者首先經過身份認證，認證通過後使用者具有該資源的通路權限方可通路。

1.2 使用者身份認證1.2.1 概念

身份認證，就是判斷一個使用者是否為合法使用者的處理過程。最常用的簡單身份認證方式是系統通過核對使用者輸入的使用者名和密碼，看其是否與系統中存儲的該使用者的使用者名和密碼一緻，來判斷使用者身份是否正确。對于采用指紋等系統，則出示指紋；對于硬體Key等刷卡系統，則需要刷卡。

1.2.2 使用者名密碼身份認證流程

2020-08-05Shiro權限管理架構詳解

1.2.3 關鍵對象

上邊的流程圖中需要了解以下關鍵對象：

Subject：主體

通路系統的使用者，主體可以是使用者、程式等，進行認證的都稱為主體；

Principal：身份資訊

是主體（subject）進行身份認證的辨別，辨別必須具有唯一性，如使用者名、手機号、郵箱位址等，一個主體可以有多個身份，但是必須有一個主身份（Primary Principal）。

credential：憑證資訊

是隻有主體自己知道的安全資訊，如密碼、證書等。

1.3 授權1.3.1 概念

授權，即通路控制，控制誰能通路哪些資源。主體進行身份認證後需要配置設定權限方可通路系統的資源，對于某些資源沒有權限是無法通路的。

1.3.2 授權流程

下圖中橙色為授權流程。

2020-08-05Shiro權限管理架構詳解

1.3.3 關鍵對象

授權可簡單了解為who對what(which)進行How操作：

Who，即主體（Subject），主體需要通路系統中的資源。

What，即資源（Resource），如系統菜單、頁面、按鈕、類方法、系統商品資訊等。資源包括資源類型和資源執行個體，比如商品資訊為資源類型，類型為t01的商品為資源執行個體，編号為001的商品資訊也屬于資源執行個體。

How，權限/許可（Permission），規定了主體對資源的操作許可，權限離開資源沒有意義，如使用者查詢權限、使用者添權重限、某個類方法的調用權限、編号為001使用者的修改權限等，通過權限可知主體對哪些資源都有哪些操作許可。

權限分為粗顆粒和細顆粒，粗顆粒權限是指對資源類型的權限，細顆粒權限是對資源執行個體的權限。

主體、資源、權限關系如下圖：

2020-08-05Shiro權限管理架構詳解

1.3.4 權限模型

對上節中的主體、資源、權限通過資料模型表示。

主體（賬号、密碼）

資源（資源名稱、通路位址）

權限（權限名稱、資源id）

角色（角色名稱）

角色和權限關系（角色id、權限id）

主體和角色關系（主體id、角色id）

如下圖：

2020-08-05Shiro權限管理架構詳解

通常企業開發中将資源和權限表合并為一張權限表，如下：

資源（資源名稱、通路位址）

權限（權限名稱、資源id）

合并為：

權限（權限名稱、資源名稱、資源通路位址）

2020-08-05Shiro權限管理架構詳解

上圖常被稱為權限管理的通用模型，不過企業在開發中根據系統自身的特點還會對上圖進行修改，但是使用者、角色、權限、使用者角色關系、角色權限關系是需要去了解的。

1.3.5 權限配置設定

對主體配置設定權限，主體隻允許在權限範圍内對資源進行操作，比如：對u01使用者配置設定商品修改權限，u01使用者隻能對商品進行修改。

權限配置設定的資料通常需要持久化，根據上邊的資料模型建立表并将使用者的權限資訊存儲在資料庫中。

1.3.6 權限控制

使用者擁有了權限即可操作權限範圍内的資源，系統不知道主體是否具有通路權限需要對使用者的通路進行控制。

1.3.6.1 基于角色的通路控制

RBAC基于角色的通路控制（Role-Based Access Control）是以角色為中心進行通路控制，比如：主體的角色為總經理可以查詢企業營運報表，查詢員工工資資訊等，通路控制流程如下：

2020-08-05Shiro權限管理架構詳解

上圖中的判斷邏輯代碼可以了解為：

if(主體.hasRole("總經理角色id")){

查詢工資

}

缺點：以角色進行通路控制粒度較粗，如果上圖中查詢工資所需要的角色變化為總經理和部門經理，此時就需要修改判斷邏輯為“判斷主體的角色是否是總經理或部門經理”，系統可擴充性差。

修改代碼如下：

if(主體.hasRole("總經理角色id") || 主體.hasRole("部門經理角色id")){

查詢工資

}

1.3.6.2 基于資源的通路控制

RBAC基于資源的通路控制（Resource-Based Access Control）是以資源為中心進行通路控制，比如：主體必須具有查詢工資權限才可以查詢員工工資資訊等，通路控制流程如下：

上圖中的判斷邏輯代碼可以了解為：

if(主體.hasPermission("查詢工資權限辨別")){

查詢工資

}

優點：系統設計時定義好查詢工資的權限辨別，即使查詢工資所需要的角色變化為總經理和部門經理也隻需要将“查詢工資資訊權限”添加到“部門經理角色”的權限清單中，判斷邏輯不用修改，系統可擴充性強。

1 權限管了解決方案1.1 粗顆粒度和細顆粒度1.1.1 什麼是粗顆粒度和細顆粒度

對資源類型的管理稱為粗顆粒度權限管理，即隻控制到菜單、按鈕、方法，粗粒度的例子比如：使用者具有使用者管理的權限，具有導出訂單明細的權限。對資源執行個體的控制稱為細顆粒度權限管理，即控制到資料級别的權限，比如：使用者隻允許修改本部門的員工資訊，使用者隻允許導出自己建立的訂單明細。

1.1.2 如何實作粗顆粒度和細顆粒度

對于粗顆粒度的權限管理可以很容易做系統架構級别的功能，即系統功能操作使用統一的粗顆粒度的權限管理。

對于細顆粒度的權限管理不建議做成系統架構級别的功能，因為對資料級别的控制是系統的業務需求，随着業務需求的變更業務功能變化的可能性很大，建議對資料級别的權限控制在業務層個性化開發，比如：使用者隻允許修改自己建立的商品資訊可以在service接口添加校驗實作，service接口需要傳入目前操作人的辨別，與商品資訊建立人辨別對比，不一緻則不允許修改商品資訊。

1.2 基于url攔截

基于url攔截是企業中常用的權限管理方法，實作思路是：将系統操作的每個url配置在權限表中，将權限對應到角色，将角色配置設定給使用者，使用者通路系統功能通過Filter進行過慮，過慮器擷取到使用者通路的url，隻要通路的url是使用者配置設定角色中的url則放行繼續通路。

如下圖：

2020-08-05Shiro權限管理架構詳解

1.3 使用權限管理架構

對于權限管理基本上每個系統都有，使用權限管理架構完成權限管理功能的開發可以節省系統開發時間，并且權限管理架構提供了完善的認證和授權功能有利于系統擴充維護，但是學習權限管理架構是需要成本的，是以選擇一款簡單高效的權限管理架構顯得非常重要。

1 基于url攔截實作1.1 環境準備

jdk：1.7.0_72

web容器：tomcat7

系統架構：springmvc3.2.0+mybatis3.2.7

（詳細參考springmvc教案）

前台UI：jquery easyUI1.2.2

1.2 資料庫

建立mysql5.1資料庫

建立使用者表、角色表、權限表、角色權限關系表、使用者角色關系表。

導入腳本，先導入shiro_sql_talbe.sql再導入shiro-sql_table_data.sql

2020-08-05Shiro權限管理架構詳解

1.3 activeUser使用者身份類

使用者登陸成功記錄activeUser資訊并将activeUser存入session。

2020-08-05Shiro權限管理架構詳解

1.4 anonymousURL.properties

anonymousURL.properties公開通路位址，無需身份認證即可通路。

1.5 commonURL.properties

commonURL.properties公共通路位址，身份認證通過無需配置設定權限即可通路。

1.6 使用者身份認證攔截器

使用springmvc攔截器對使用者身份認證進行攔截，如果使用者沒有登陸則跳轉到登陸頁面，本功能也可以使用filter實作。

2020-08-05Shiro權限管理架構詳解

1.7 使用者授權攔截器

使用springmvc攔截器對使用者通路url進行攔截，如果使用者通路的url沒有配置設定權限則跳轉到無權操作提示頁面（refuse.jsp），本功能也可以使用filter實作。

2020-08-05Shiro權限管理架構詳解

1.8 使用者登陸

使用者輸入使用者賬号和密碼登陸，登陸成功将使用者的身份資訊（使用者賬号、密碼、權限菜單、權限url等）記入activeUser類，并寫入session。

1.8.1 controller

2020-08-05Shiro權限管理架構詳解

1.8.2 service接口

2020-08-05Shiro權限管理架構詳解

1 shiro介紹1.1 什麼是shiro

Shiro是apache旗下一個開源架構，它将軟體系統的安全認證相關的功能抽取出來，實作使用者身份認證，權限授權、加密、會話管理等功能，組成了一個通用的安全認證架構。

1.2 為什麼要學shiro

既然shiro将安全認證相關的功能抽取出來組成一個架構，使用shiro就可以非常快速的完成認證、授權等功能的開發，降低系統成本。

shiro使用廣泛，shiro可以運作在web應用，非web應用，叢集分布式應用中越來越多的使用者開始使用shiro。

java領域中spring security(原名Acegi)也是一個開源的權限管理架構，但是spring security依賴spring運作，而shiro就相對獨立，最主要是因為shiro使用簡單、靈活，是以現在越來越多的使用者選擇shiro。

1.3 Shiro架構

2020-08-05Shiro權限管理架構詳解

1.3.1 Subject

Subject即主體，外部應用與subject進行互動，subject記錄了目前操作使用者，将使用者的概念了解為目前操作的主體，可能是一個通過浏覽器請求的使用者，也可能是一個運作的程式。Subject在shiro中是一個接口，接口中定義了很多認證授相關的方法，外部程式通過subject進行認證授，而subject是通過SecurityManager安全管理器進行認證授權

1.3.2 SecurityManager

SecurityManager即安全管理器，對全部的subject進行安全管理，它是shiro的核心，負責對所有的subject進行安全管理。通過SecurityManager可以完成subject的認證、授權等，實質上SecurityManager是通過Authenticator進行認證，通過Authorizer進行授權，通過SessionManager進行會話管理等。

SecurityManager是一個接口，繼承了Authenticator, Authorizer, SessionManager這三個接口。

1.3.3 Authenticator

Authenticator即認證器，對使用者身份進行認證，Authenticator是一個接口，shiro提供ModularRealmAuthenticator實作類，通過ModularRealmAuthenticator基本上可以滿足大多數需求，也可以自定義認證器。

1.3.4 Authorizer

Authorizer即授權器，使用者通過認證器認證通過，在通路功能時需要通過授權器判斷使用者是否有此功能的操作權限。

1.3.5 realm

Realm即領域，相當于datasource資料源，securityManager進行安全認證需要通過Realm擷取使用者權限資料，比如：如果使用者身份資料在資料庫那麼realm就需要從資料庫擷取使用者身份資訊。

注意：不要把realm了解成隻是從資料源取資料，在realm中還有認證授權校驗的相關的代碼。

1.3.6 sessionManager

sessionManager即會話管理，shiro架構定義了一套會話管理，它不依賴web容器的session，是以shiro可以使用在非web應用上，也可以将分布式應用的會話集中在一點管理，此特性可使它實作單點登入。

1.3.7 SessionDAO

SessionDAO即會話dao，是對session會話操作的一套接口，比如要将session存儲到資料庫，可以通過jdbc将會話存儲到資料庫。

1.3.8 CacheManager

CacheManager即緩存管理，将使用者權限資料存儲在緩存，這樣可以提高性能。

1.3.9 Cryptography

Cryptography即密碼管理，shiro提供了一套加密/解密的元件，友善開發。比如提供常用的散列、加/解密等功能。

1.4 shiro的jar包

與其它java開源架構類似，将shiro的jar包加入項目就可以使用shiro提供的功能了。shiro-core是核心包必須選用，還提供了與web整合的shiro-web、與spring整合的shiro-spring、與任務排程quartz整合的shiro-quartz等，下邊是shiro各jar包的maven坐标。