shiro框架授权的四种方式，shiro框架单点登录

欧气 2024年09月28日 10:27 4 0

标题：Shiro 框架授权的四种方式详解

一、引言

在现代企业应用中，安全是至关重要的，单点登录（SSO）是一种常见的安全解决方案，它允许用户只需登录一次，就可以访问多个应用系统，Shiro 框架是一个强大的 Java 安全框架，它提供了多种方式来实现单点登录，本文将详细介绍 Shiro 框架授权的四种方式，并通过示例代码进行演示。

二、Shiro 框架简介

Shiro 框架是一个开源的安全框架，它提供了认证、授权、会话管理等功能，Shiro 框架的核心概念是主体（Subject）、安全管理器（SecurityManager）、 realm 和权限（Permission），主体是指访问系统的用户或程序，安全管理器是 Shiro 框架的核心组件，它负责管理主体的认证和授权，realm 是 Shiro 框架与数据源进行交互的组件，它负责验证用户的身份和权限，权限是指主体在系统中具有的操作权限。

三、Shiro 框架授权的四种方式

1、基于角色的授权：基于角色的授权是最常见的授权方式，它通过给用户分配角色来控制用户的权限，在 Shiro 框架中，可以使用 Realm 来实现基于角色的授权。

2、基于权限的授权：基于权限的授权是一种更细粒度的授权方式，它通过给用户分配具体的权限来控制用户的操作，在 Shiro 框架中，可以使用 Permission 来实现基于权限的授权。

3、基于资源的授权：基于资源的授权是一种更灵活的授权方式，它通过给用户分配具体的资源来控制用户的访问，在 Shiro 框架中，可以使用 Resource 来实现基于资源的授权。

4、基于属性的授权：基于属性的授权是一种更复杂的授权方式，它通过给用户分配具体的属性来控制用户的权限，在 Shiro 框架中，可以使用 Principal 来实现基于属性的授权。

四、基于角色的授权示例

以下是一个基于角色的授权示例，它演示了如何使用 Shiro 框架实现基于角色的授权。

import org.apache.shiro.SecurityUtils;
import org.apache.shiro.authc.UsernamePasswordToken;
import org.apache.shiro.config.IniSecurityManagerFactory;
import org.apache.shiro.mgt.SecurityManager;
import org.apache.shiro.subject.Subject;
import org.apache.shiro.util.Factory;
public class RoleBasedAuthorizationExample {
    public static void main(String[] args) {
        // 创建 SecurityManager
        Factory<SecurityManager> factory = new IniSecurityManagerFactory("classpath:shiro.ini");
        SecurityManager securityManager = factory.getInstance();
        SecurityUtils.setSecurityManager(securityManager);
        // 获取 Subject
        Subject subject = SecurityUtils.getSubject();
        // 登录
        UsernamePasswordToken token = new UsernamePasswordToken("zhangsan", "123456");
        subject.login(token);
        // 检查角色
        if (subject.hasRole("admin")) {
            System.out.println("用户具有管理员角色");
        } else {
            System.out.println("用户不具有管理员角色");
        }
    }
}

在上述示例中，首先创建了一个 SecurityManager，然后通过 SecurityUtils 类获取了一个 Subject，使用 UsernamePasswordToken 类进行登录，并检查用户是否具有管理员角色，如果用户具有管理员角色，则输出“用户具有管理员角色”，否则输出“用户不具有管理员角色”。

五、基于权限的授权示例

以下是一个基于权限的授权示例，它演示了如何使用 Shiro 框架实现基于权限的授权。

import org.apache.shiro.SecurityUtils;
import org.apache.shiro.authc.UsernamePasswordToken;
import org.apache.shiro.config.IniSecurityManagerFactory;
import org.apache.shiro.mgt.SecurityManager;
import org.apache.shiro.subject.Subject;
import org.apache.shiro.util.Factory;
public class PermissionBasedAuthorizationExample {
    public static void main(String[] args) {
        // 创建 SecurityManager
        Factory<SecurityManager> factory = new IniSecurityManagerFactory("classpath:shiro.ini");
        SecurityManager securityManager = factory.getInstance();
        SecurityUtils.setSecurityManager(securityManager);
        // 获取 Subject
        Subject subject = SecurityUtils.getSubject();
        // 登录
        UsernamePasswordToken token = new UsernamePasswordToken("zhangsan", "123456");
        subject.login(token);
        // 检查权限
        if (subject.isPermitted("user:delete")) {
            System.out.println("用户具有删除用户的权限");
        } else {
            System.out.println("用户不具有删除用户的权限");
        }
    }
}

在上述示例中，首先创建了一个 SecurityManager，然后通过 SecurityUtils 类获取了一个 Subject，使用 UsernamePasswordToken 类进行登录，并检查用户是否具有删除用户的权限，如果用户具有删除用户的权限，则输出“用户具有删除用户的权限”，否则输出“用户不具有删除用户的权限”。

六、基于资源的授权示例

以下是一个基于资源的授权示例，它演示了如何使用 Shiro 框架实现基于资源的授权。

import org.apache.shiro.SecurityUtils;
import org.apache.shiro.authc.UsernamePasswordToken;
import org.apache.shiro.config.IniSecurityManagerFactory;
import org.apache.shiro.mgt.SecurityManager;
import org.apache.shiro.subject.Subject;
import org.apache.shiro.util.Factory;
public class ResourceBasedAuthorizationExample {
    public static void main(String[] args) {
        // 创建 SecurityManager
        Factory<SecurityManager> factory = new IniSecurityManagerFactory("classpath:shiro.ini");
        SecurityManager securityManager = factory.getInstance();
        SecurityUtils.setSecurityManager(securityManager);
        // 获取 Subject
        Subject subject = SecurityUtils.getSubject();
        // 登录
        UsernamePasswordToken token = new UsernamePasswordToken("zhangsan", "123456");
        subject.login(token);
        // 检查资源访问权限
        if (subject.isPermitted("user:view")) {
            System.out.println("用户具有查看用户的权限");
        } else {
            System.out.println("用户不具有查看用户的权限");
        }
    }
}

在上述示例中，首先创建了一个 SecurityManager，然后通过 SecurityUtils 类获取了一个 Subject，使用 UsernamePasswordToken 类进行登录，并检查用户是否具有查看用户的权限，如果用户具有查看用户的权限，则输出“用户具有查看用户的权限”，否则输出“用户不具有查看用户的权限”。

七、基于属性的授权示例

以下是一个基于属性的授权示例，它演示了如何使用 Shiro 框架实现基于属性的授权。

import org.apache.shiro.SecurityUtils;
import org.apache.shiro.authc.UsernamePasswordToken;
import org.apache.shiro.config.IniSecurityManagerFactory;
import org.apache.shiro.mgt.SecurityManager;
import org.apache.shiro.subject.Subject;
import org.apache.shiro.util.Factory;
public class AttributeBasedAuthorizationExample {
    public static void main(String[] args) {
        // 创建 SecurityManager
        Factory<SecurityManager> factory = new IniSecurityManagerFactory("classpath:shiro.ini");
        SecurityManager securityManager = factory.getInstance();
        SecurityUtils.setSecurityManager(securityManager);
        // 获取 Subject
        Subject subject = SecurityUtils.getSubject();
        // 登录
        UsernamePasswordToken token = new UsernamePasswordToken("zhangsan", "123456");
        subject.login(token);
        // 检查属性授权
        if (subject.hasPrincipal("admin")) {
            System.out.println("用户具有管理员属性");
        } else {
            System.out.println("用户不具有管理员属性");
        }
    }
}

在上述示例中，首先创建了一个 SecurityManager，然后通过 SecurityUtils 类获取了一个 Subject，使用 UsernamePasswordToken 类进行登录，并检查用户是否具有管理员属性，如果用户具有管理员属性，则输出“用户具有管理员属性”，否则输出“用户不具有管理员属性”。

八、结论

本文详细介绍了 Shiro 框架授权的四种方式，并通过示例代码进行了演示，基于角色的授权是最常见的授权方式，基于权限的授权是一种更细粒度的授权方式，基于资源的授权是一种更灵活的授权方式，基于属性的授权是一种更复杂的授权方式，在实际应用中，可以根据具体需求选择合适的授权方式。

标签： #单点登录 #四种方式