Shiro官方快速入門10min例子源碼解析框架3-Authentication(身份認證)

来源:https://www.cnblogs.com/codflow/archive/2019/02/11/shiro_source_code_3.html
-Advertisement-
Play Games

在作完預備的初始化和session測試後，到了作為一個權鑒別框架的核心功能部分，確認你是誰--身份認證（Authentication）。 本文涉及到token的構建，框架結構下認證行為的調用，realm中授權數據的獲取、登錄信息比較，login過程中對已有有subject、session的處理 ...


在作完預備的初始化和session測試後，到了作為一個權鑒別框架的核心功能部分，確認你是誰--身份認證（Authentication）。

通過提交給shiro身份信息來驗證是否與儲存的安全信息數據是否相符來判斷用戶身份的真實性

 本文涉及到token的構建，框架結構下認證行為的調用，realm中授權數據的獲取、登錄信息比較，login過程中對已有有subject、session的處理

 

 同樣，本篇本文使用的是shiro 1.3.2版本，配合源碼最佳~

 

官方例子代碼流程如下

 

cahlwftt

if (!currentUser.isAuthenticated()) {
            UsernamePasswordToken token = new UsernamePasswordToken("lonestarr", "vespa");
            token.setRememberMe(true);
            try {
                currentUser.login(token);
            } catch (UnknownAccountException uae) {
                log.info("There is no user with username of " + token.getPrincipal());
            } catch (IncorrectCredentialsException ice) {
                log.info("Password for account " + token.getPrincipal() + " was incorrect!");
            } catch (LockedAccountException lae) {
                log.info("The account for username " + token.getPrincipal() + " is locked.  " +
                        "Please contact your administrator to unlock it.");
            }
            // ... catch more exceptions here (maybe custom ones specific to your application?
            catch (AuthenticationException ae) {
                //unexpected condition?  error?
            }
        }

 

 

 

 

3.1首先構造token,其中 UsernamePasswordToken 實現了HostAuthenticationToken和RememberMeAuthenticationToken介面，他們都繼承自AuthenticationToken介面

HostAuthenticationToken介面指定了token的域，RememberMeAuthenticationToken介面指定了token是否實現RememberMe（認證跨session）

ps:shiro 認證狀態區分Authenticated和Remembered，Authenticated指當前session（或流程）下已經過認證，Remembered指曾經獲得認證，如果是web狀態下RememberMe相關信息保存在cookie中

二者可以調用 subject.isAuthenticated() 及subject.isRemembered()區分

其中UsernamePasswordToken 的Principal(身份)概念即Username，Credentials(憑證)概念即Password

enf5zggw

在token 中設置用戶名和密碼

UsernamePasswordToken token = new UsernamePasswordToken("lonestarr", "vespa");

設置是否使用RememberMe（此案例中不具體起作用，只是作為示例在token中設置

token.setRememberMe(true);

案例中不對host進行設置

3.2完成對token的構建設置後，便進行認證(Authentication)操作

currentUser.login(token);

首先先借用官方的例圖來瞭解一下整個的流程

1-調用subject的login入口傳入token

2-subject實際調用SecurityManager的login

3-securityManager再調用authenticator實例的doAuthenticate方法,一般這個是ModularRealmAuthenticator的實例

4-判斷realm的狀況，如果是單realm則直接調用realm,如果是多realm則要判斷認證策略（AuthenticationStrategy）

5-調用對應realm中的getAuthenticationInfo實現進行認證

 

DelegatingSubject.login代碼如下，下麵對認證流程進行詳細的解讀

public void login(AuthenticationToken token) throws AuthenticationException {
        clearRunAsIdentitiesInternal();
        Subject subject = securityManager.login(this, token);

        PrincipalCollection principals;

        String host = null;

        if (subject instanceof DelegatingSubject) {
            DelegatingSubject delegating = (DelegatingSubject) subject;
            //we have to do this in case there are assumed identities - we don't want to lose the 'real' principals:
            principals = delegating.principals;
            host = delegating.host;
        } else {
            principals = subject.getPrincipals();
        }

        if (principals == null || principals.isEmpty()) {
            String msg = "Principals returned from securityManager.login( token ) returned a null or " +
                    "empty value.  This value must be non null and populated with one or more elements.";
            throw new IllegalStateException(msg);
        }
        this.principals = principals;
        this.authenticated = true;
        if (token instanceof HostAuthenticationToken) {
            host = ((HostAuthenticationToken) token).getHost();
        }
        if (host != null) {
            this.host = host;
        }
        Session session = subject.getSession(false);
        if (session != null) {
            this.session = decorate(session);
        } else {
            this.session = null;
        }
    }

3.2.1首先是初始化

clearRunAsIdentitiesInternal();

如果subject已含session則獲取session並清除其中參數

3.2.2調用securityManager中的()login()開始認證

Subject subject = securityManager.login(this, token);

這裡調用的是DefaultSecurityManager中的login

public Subject login(Subject subject, AuthenticationToken token) throws AuthenticationException {
        AuthenticationInfo info;
        try {
            info = authenticate(token);//調用AbstractAuthenticator.authenticate，
        } catch (AuthenticationException ae) {
            try {
                onFailedLogin(token, ae, subject);//認證失敗，清除remenberMe的信息使之失效
            } catch (Exception e) {
                if (log.isInfoEnabled()) {
                    log.info("onFailedLogin method threw an " +
                            "exception.  Logging and propagating original AuthenticationException.", e);
                }
            }
            throw ae; //propagate
        }

        Subject loggedIn = createSubject(token, info, subject);

        onSuccessfulLogin(token, info, loggedIn);

        return loggedIn;
    }

3.2.2.1

調用AbstractAuthenticator.authenticate()，其中調用ModularRealmAuthenticator.doAuthenticate

protected AuthenticationInfo doAuthenticate(AuthenticationToken authenticationToken) throws AuthenticationException {
        assertRealmsConfigured();
        Collection<Realm> realms = getRealms();
        if (realms.size() == 1) {
            return doSingleRealmAuthentication(realms.iterator().next(), authenticationToken);
        } else {
            return doMultiRealmAuthentication(realms, authenticationToken);
        }
    }

判斷realms可用由於是配置的是單realm

則調用ModularRealmAuthenticator.doSingleRealmAuthentication(),其中調用realm實現判斷token類型是否支持，然後執行realm實現中的getAuthenticationInfo方法

protected AuthenticationInfo doSingleRealmAuthentication(Realm realm, AuthenticationToken token) {
        if (!realm.supports(token)) {
            String msg = "Realm [" + realm + "] does not support authentication token [" +
                    token + "].  Please ensure that the appropriate Realm implementation is " +
                    "configured correctly or that the realm accepts AuthenticationTokens of this type.";
            throw new UnsupportedTokenException(msg);
        }
        AuthenticationInfo info = realm.getAuthenticationInfo(token);
        if (info == null) {
            String msg = "Realm [" + realm + "] was unable to find account data for the " +
                    "submitted AuthenticationToken [" + token + "].";
            throw new UnknownAccountException(msg);
        }
        return info;
    }

從下圖中看出這裡的realm是配置後的iniRealm實例，其方法在AuthenticatingRealm中實現，由於inirealm直接在初始化onInit()時就在記憶體載入了所有授權數據信息,例子並沒有使用cache。

dx2hm1ue

public final AuthenticationInfo getAuthenticationInfo(AuthenticationToken token) throws AuthenticationException {

        AuthenticationInfo info = getCachedAuthenticationInfo(token);
        if (info == null) {
            //otherwise not cached, perform the lookup:
            info = doGetAuthenticationInfo(token);
            log.debug("Looked up AuthenticationInfo [{}] from doGetAuthenticationInfo", info);
            if (token != null && info != null) {
                cacheAuthenticationInfoIfPossible(token, info);
            }
        } else {
            log.debug("Using cached authentication info [{}] to perform credentials matching.", info);
        }

        if (info != null) {
            assertCredentialsMatch(token, info);
        } else {
            log.debug("No AuthenticationInfo found for submitted AuthenticationToken [{}].  Returning null.", token);
        }

        return info;
    }

 

 

3.2.2.1.1調用SimpleAccountRealm.doGetAuthenticationInfo通過用戶名從Map users 取出對應的SimpleAccount，並判斷是否被鎖，是否過期

protected AuthenticationInfo doGetAuthenticationInfo(AuthenticationToken token) throws AuthenticationException {
        UsernamePasswordToken upToken = (UsernamePasswordToken) token;
        SimpleAccount account = getUser(upToken.getUsername());

        if (account != null) {

            if (account.isLocked()) {
                throw new LockedAccountException("Account [" + account + "] is locked.");
            }
            if (account.isCredentialsExpired()) {
                String msg = "The credentials for account [" + account + "] are expired";
                throw new ExpiredCredentialsException(msg);
            }

        }

        return account;
    }

對應getUser方法使用了讀鎖保證了map讀操作的原子性

protected SimpleAccount getUser(String username) {
        USERS_LOCK.readLock().lock();
        try {
            return this.users.get(username);
        } finally {
            USERS_LOCK.readLock().unlock();
        }
    }

3.2.2.1.2調用AuthenticatingRealm.assertCredentialsMatch，獲取密碼比較器（CredentialsMatcher），其中調用doCredentialsMatch獲取對比token和info（上面從realm通過用戶名獲取的AuthenticationInfo實例）中的密碼（核心的一步），並返回結果

public boolean doCredentialsMatch(AuthenticationToken token, AuthenticationInfo info) {
        Object tokenCredentials = getCredentials(token);
        Object accountCredentials = getCredentials(info);
        return equals(tokenCredentials, accountCredentials);
    }

3.2.2.2隨後通知認證監聽器AuthenticationListener（本例未設置）層層返回info至DefaultSecurityManager創建新的有登錄信息的subject

Subject loggedIn = createSubject(token, info, subject);

並將現有subject中的信息賦予新的subject

protected Subject createSubject(AuthenticationToken token, AuthenticationInfo info, Subject existing) {
        SubjectContext context = createSubjectContext();
        context.setAuthenticated(true);
        context.setAuthenticationToken(token);
        context.setAuthenticationInfo(info);
        if (existing != null) {
            context.setSubject(existing);
        }
        return createSubject(context);
    }

3.2.2.3設置rememberMe（本例未實現

onSuccessfulLogin(token, info, loggedIn);

3.2.3 繼續獲取信息principals,host(本例無),設置session到subject，

        if (subject instanceof DelegatingSubject) {
            DelegatingSubject delegating = (DelegatingSubject) subject;
            //we have to do this in case there are assumed identities - we don't want to lose the 'real' principals:
            principals = delegating.principals;
            host = delegating.host;
        } else {
            principals = subject.getPrincipals();
        }

        if (principals == null || principals.isEmpty()) {
            String msg = "Principals returned from securityManager.login( token ) returned a null or " +
                    "empty value.  This value must be non null and populated with one or more elements.";
            throw new IllegalStateException(msg);
        }
        this.principals = principals;
        this.authenticated = true;
        if (token instanceof HostAuthenticationToken) {
            host = ((HostAuthenticationToken) token).getHost();
        }
        if (host != null) {
            this.host = host;
        }
        Session session = subject.getSession(false);
        if (session != null) {
            this.session = decorate(session);
        } else {
            this.session = null;
        }

3.3完成認證後測試一下Principal(用戶名)是否正確

log.info("User [" + currentUser.getPrincipal() + "] logged in successfully.");

k22pnc1t

可見用戶信息正確

 

至此完成了一個簡單的Authentication過程

 

參考：

http://shiro.apache.org/10-minute-tutorial.html

http://shiro.apache.org/authentication.html

 http://www.apache.org/dyn/closer.cgi/shiro/1.3.2/shiro-root-1.3.2-source-release.zip

 

轉載請註明作者及來源：https://www.cnblogs.com/codflow/


您的分享是我們最大的動力!

-Advertisement-
Play Games
更多相關文章
  • day11-12-迭代器和生成器
    迭代器 1.函數名的運用 函數名是一個特殊的變數，與括弧搭配可以調用函數 1.函數名的記憶體地址 2.函數名可以賦值給其他變數 3.函數名可以當做容器類的元素 4.函數名可以當做函數的參數 5.函數名可以作為函數的返回值 2.閉包 閉包：內層函數對外層函數變數（非全局變數）的引用 我們可以使用__cl ...
  • scrapy爬取美女圖片
    使用scrapy爬取整個網站的圖片數據。並且使用 CrawlerProcess 啟動。 1 # -*- coding: utf-8 -* 2 import scrapy 3 import requests 上面的是spider文件 上面的是item文件 這上面是管道文件 這是在setting裡面的， ...
  • 第87節：Java中的Bootstrap基礎與SQL入門
    第87節：Java中的Bootstrap基礎與SQL入門 前言複習 什麼是JQ？ : write less do more 寫更少的代碼，做更多的事 找出所有兄弟： 基本過濾器： 選擇器：過濾器 入門 常見關係化資料庫 mysql資料庫配置bin目錄到path中，命令行： 資料庫伺服器，資料庫和表 ...
  • python之把字元串形式的函數編譯執行
    實現效果：執行字元串形式的函數 代碼如下 ...
  • JVM自動記憶體管理機制——Java記憶體區域（下）
    一、虛擬機參數配置 在上一篇《Java自動記憶體管理機制——Java記憶體區域（上）》中介紹了有關的基礎知識，這一篇主要是通過一些示例來瞭解有關虛擬機參數的配置。 1、Java堆參數設置 a）下麵是一些簡單的使用參數 其中最後一個是一個運行時參數設置的簡單實例。一般-XX是系統級別的配置（日誌信息，或者 ...
  • 解析高德地圖api獲取省市區，生成最新三級聯動sql表
    前言： 最近項目中用到了全國省市區三級信息，但是網上找到的信息都是比較舊的信息。與現在最新的地區信息匹配不上。後來想到高德地圖上可能有這些信息。所以解析了一下api介面，生成了相關省市區的sql信息。（註意：這裡面沒有港臺地區）具體的請參看高德地圖文檔。 alibaba.fastjson解析+mys ...
  • Python Learning: 03
    An inch is worth a pound of gold, an inch of gold is hard to buy an inch of time. Slice When the scale of data is so large that we have to pick a shor ...
  • 求最大公約數
    /*方法其實很簡單，將下麵的方法放在你的類裡面就能用了，要是看不懂原理的話回去補補小學的知識，哈哈。*/public static int GCD() { Scanner input = new Scanner(System.in); //不要忘了引入方法 int a = input.nextInt... ...
一周排行
    -Advertisement-
    Play Games
  • 移動開發（一）：使用.NET MAUI開發第一個安卓APP
    移動開發（一）：使用.NET MAUI開發第一個安卓APP 對於工作多年的C#程式員來說，近來想嘗試開發一款安卓APP，考慮了很久最終選擇使用.NET MAUI這個微軟官方的框架來嘗試體驗開發安卓APP，畢竟是使用Visual Studio開發工具，使用起來也比較的順手，結合微軟官方的教程進行了安卓 ...
  • wpf ToggleButton選中效果和一個登錄界面
    前言 QuestPDF 是一個開源 .NET 庫，用於生成 PDF 文檔。使用了C# Fluent API方式可簡化開發、減少錯誤並提高工作效率。利用它可以輕鬆生成 PDF 報告、發票、導出文件等。 項目介紹 QuestPDF 是一個革命性的開源 .NET 庫，它徹底改變了我們生成 PDF 文檔的方 ...
  • 彈幕樹洞項目功能新增篇
    項目地址 項目後端地址： https://github.com/ZyPLJ/ZYTteeHole 項目前端頁面地址： ZyPLJ/TreeHoleVue (github.com) https://github.com/ZyPLJ/TreeHoleVue 目前項目測試訪問地址： http://tree ...
  • 第27篇 sqlserver2022詳細安裝步驟
    話不多說，直接開乾 一.下載 1.官方鏈接下載： https://www.microsoft.com/zh-cn/sql-server/sql-server-downloads 2.在下載目錄中找到下麵這個小的安裝包 SQL2022-SSEI-Dev.exe，運行開始下載SQL server； 二. ...
  • .NET 開源高性能 MQTT 類庫
    前言 隨著物聯網（IoT）技術的迅猛發展，MQTT（消息隊列遙測傳輸）協議憑藉其輕量級和高效性，已成為眾多物聯網應用的首選通信標準。 MQTTnet 作為一個高性能的 .NET 開源庫，為 .NET 平臺上的 MQTT 客戶端與伺服器開發提供了強大的支持。 本文將全面介紹 MQTTnet 的核心功能 ...
  • Serilog文檔翻譯系列（六） - 可用的接收器、增強器、格式化輸出
    Serilog支持多種接收器用於日誌存儲，增強器用於添加屬性，LogContext管理動態屬性，支持多種輸出格式包括純文本、JSON及ExpressionTemplate。還提供了自定義格式化選項，適用於不同需求。 ...
  • 警惕 Visual Studio 屬性求值副作用導致邏輯不符合預期
    目錄簡介獲取 HTML 文檔解析 HTML 文檔測試參考文章 簡介 動態內容網站使用 JavaScript 腳本動態檢索和渲染數據，爬取信息時需要模擬瀏覽器行為，否則獲取到的源碼基本是空的。 本文使用的爬取步驟如下： 使用 Selenium 獲取渲染後的 HTML 文檔 使用 HtmlAgility ...
  • [使用目前最新版]HybridCLR6.9.0+YooAsset2.2.4實現純C# Unity熱更新方案 (一)
    1.前言 什麼是熱更新 游戲或者軟體更新時，無需重新下載客戶端進行安裝，而是在應用程式啟動的情況下，在內部進行資源或者代碼更新 Unity目前常用熱更新解決方案 HybridCLR，Xlua，ILRuntime等 Unity目前常用資源管理解決方案 AssetBundles，Addressable， ...
  • 在 ASP.NET Core Web API 中使用操作篩選器統一處理通用操作
    本文章主要是在C# ASP.NET Core Web API框架實現向手機發送驗證碼簡訊功能。這裡我選擇是一個互億無線簡訊驗證碼平臺，其實像阿裡雲，騰訊雲上面也可以。 首先我們先去 互億無線 https://www.ihuyi.com/api/sms.html 去註冊一個賬號 註冊完成賬號後，它會送 ...
  • 第28篇 如何.net中實現高效可靠數據同步api
    通過以下方式可以高效，並保證數據同步的可靠性 1.API設計 使用RESTful設計，確保API端點明確，並使用適當的HTTP方法（如POST用於創建，PUT用於更新）。 設計清晰的請求和響應模型，以確保客戶端能夠理解預期格式。 2.數據驗證 在伺服器端進行嚴格的數據驗證，確保接收到的數據符合預期格 ...
所有分類