never belief any book

简介 即访问url时进行权限匹配，如果没有权限则直接跳到错误页面。 在Shiro中，更多的是通过AOP进行方法级别的权限控制，而通过url进行权限控制是一种集中的权限控制。 示例 拦截器：如authc、anon等字符串为一个拦截器；拦截器链：url=authc为一条拦截器链；拦截器链集合：url1=authc，url2=anon为拦截器链集合。 仿chapter16的示例，主要功能是用户、... 阅读全文…

简介 Shiro的组件都是Javabean/pojo式的组件，所以非常容易使用Spring进行组件管理,可以非常方便得从ini配置转为Spring配置（如xml配置文件）。 JavaSE 依赖 <!--单元测试--> <dependency> <groupId>junit</groupId> <artifactId>jun... 阅读全文…

简介 在某些项目中，一个账户可能只允许一人登录或几个人同时登录，当超过人数时，要么进制后者登录，要么踢出前者登录。 Spring Security直接提供了相应的功能。 Shiro没有提供默认实现，但自己添加也是很容易的。 示例 采用第十六章的示例，主要功能是用户、公司、角色和资源之间关系的调整，如修改用户所属公司、所有角色，资源所需权限、角色所有资源等。 目的：添加登录人数限制功能。 K... 阅读全文…

简介 授权，也叫控制访问。关键对象：主体（Subject）、资源（Resource）、权限（Permission）、角色（Role）。 角色：权限的集合，一般情况下我们会赋予用户角色而不是权限。 Shiro支持粗粒度（角色级别访问控制）和细粒度（权限级别）权限。 隐式角色：直接通过角色来验证用户有没有操作权限，粒度较粗，是以角色为单位进行访问控制的。如果有一天不允许总监这一角色使用打印机了，... 阅读全文…

示例 调用链：开始用户验证login()->AbstractAuthenticaticator.authenticate()->子类ModularRealmAuthenticator.doAuthenticate()判断有几个Realm，然后一个个执行->getAuthenticationInfo()->AuthenticatingRealm.getAuthentic... 阅读全文…

依赖 shiro-web <!--shiro项目至少的jar--> <dependency> <groupId>org.apache.shiro</groupId> <artifactId>shiro-core</artifactId> <version>1.2.2</versi... 阅读全文…

Realm doGetAuthenticationInfo()和getAuthenticationInfo()一样，都是做用户验证和返回身份凭证的。 从调用链上，getAuthorizationInfo()会调用doGetAuthorizationInfo()，所以大部分时候是重写后者。 AuthenticationToken 收集用户提交的身份信息（如用户名和凭据（如密码））的接口。 p... 阅读全文…

jstl标签库 Shiro提供了jstl标签用于在jsp页面、gsp页面进行权限控制，如根据登录页面显示相应的菜单。 导入标签库 <%@taglib prefix="shiro" uri="http://shiro.apache.org/tags" %> guest标签：用户未登录时作为游客处理。 <shiro:guest>... 阅读全文…

简介 Java安全框架 Apache Shiro是一个强大且易用的Java安全框架，执行身份验证、授权、密码和会话管理。 三个核心组件：Subject、SecurityManager和Realms。 Subject:当前操作用户，代表了当前用户的安全操作。所有Subject都绑定到SEcurityManager，与Subject的所有交互都会委托给SecurityManager，可以把Sub... 阅读全文…

Authenticator及AuthenticationStrategy Authenticator的职责是验证用户，被subject的login()调用。 public AuthenticationInfo authenticate(AuthenticationToken authenticationToken) throws AuthenticationException { ... 阅读全文…