Apache Shiro入门指南：从概念到RBAC模型与实战编程

作者：很菜不狗2025.09.12 11:00浏览量：0

简介：本文详细介绍Apache Shiro框架的核心概念、RBAC权限模型设计原理，并通过完整代码示例演示如何实现基于Shiro的认证授权系统，帮助开发者快速掌握安全框架的集成方法。

一、Apache Shiro核心概念解析

Apache Shiro作为Java生态中广泛使用的安全框架，其设计理念围绕”简单、直观、强大”展开。与Spring Security相比，Shiro以更轻量的架构和更易理解的API著称，尤其适合中小型项目的安全需求。

1.1 三大核心组件

Shiro的架构由三个核心组件构成：

Subject：代表当前用户操作主体，通过SecurityUtils.getSubject()获取，所有安全操作都通过Subject接口完成
SecurityManager：安全管理器，作为Shiro的核心引擎，管理所有Subject并协调各组件工作
Realm：数据访问接口，负责从数据库、LDAP等存储系统获取认证和授权数据

典型交互流程：用户提交凭证→Subject接收→SecurityManager调度→Realm验证数据→返回结果

1.2 核心功能模块

Shiro提供四大安全功能：

认证（Authentication）：验证用户身份，支持多Realm组合验证
授权（Authorization）：基于角色/权限的访问控制，支持细粒度权限
会话管理（Session Management）：跨应用会话共享，支持集群环境
加密（Cryptography）：内置加密算法，支持哈希、盐值加密等

二、RBAC模型深度解析

基于角色的访问控制（Role-Based Access Control）是Shiro授权的核心机制，其设计遵循最小权限原则。

2.1 RBAC模型要素

标准RBAC模型包含四个基本要素：

用户（User）：系统操作者，可关联多个角色
角色（Role）：权限集合，作为用户与权限的中介
权限（Permission）：具体操作许可，通常采用”资源:操作”格式（如user:delete）
会话（Session）：用户与系统的交互上下文

扩展模型RBAC1引入角色层次，RBAC2增加约束条件，RBAC3结合两者特性。Shiro默认支持RBAC0基础模型。

2.2 权限设计实践

推荐采用”领域-操作”二维权限设计：

// 资源分类示例
系统管理:create,read,update,delete
订单管理:view,approve,cancel
数据报表:export,share

权限字符串建议遵循”模块:操作:实例”格式（如order12345），便于实现实例级权限控制。

2.3 角色继承实现

通过Shiro的AuthorizationInfo接口可实现角色层次：

public class CustomRealm extends AuthorizingRealm {
    @Override
    protected AuthorizationInfo doGetAuthorizationInfo(PrincipalCollection principals) {
        SimpleAuthorizationInfo info = new SimpleAuthorizationInfo();
        // 基础角色
        info.addRole("admin");
        // 继承的子角色
        info.addRole("editor");
        // 权限继承示例
        if(hasAdminRole) {
            info.addStringPermission("system:*");
        }
        return info;
    }
}

三、Shiro入门实战编程

通过完整示例演示Shiro集成过程，包含Maven依赖、核心配置和关键代码实现。

3.1 环境准备

Maven依赖配置：

<dependency>
    <groupId>org.apache.shiro</groupId>
    <artifactId>shiro-core</artifactId>
    <version>1.11.0</version>
</dependency>
<dependency>
    <groupId>org.apache.shiro</groupId>
    <artifactId>shiro-web</artifactId>
    <version>1.11.0</version>
</dependency>

3.2 核心配置实现

3.2.1 自定义Realm实现

public class DatabaseRealm extends AuthorizingRealm {
    @Override
    protected AuthenticationInfo doGetAuthenticationInfo(AuthenticationToken token) {
        UsernamePasswordToken upToken = (UsernamePasswordToken) token;
        // 模拟数据库查询
        if("admin".equals(upToken.getUsername())) {
            return new SimpleAuthenticationInfo(
                "admin", 
                "123456", 
                getName()
            );
        }
        return null;
    }
    @Override
    protected AuthorizationInfo doGetAuthorizationInfo(PrincipalCollection principals) {
        SimpleAuthorizationInfo info = new SimpleAuthorizationInfo();
        info.addRole("admin");
        info.addStringPermission("user:create");
        info.addStringPermission("user:delete");
        return info;
    }
}

3.2.2 Shiro配置类

@Configuration
public class ShiroConfig {
    @Bean
    public Realm realm() {
        return new DatabaseRealm();
    }
    @Bean
    public SecurityManager securityManager() {
        DefaultWebSecurityManager manager = new DefaultWebSecurityManager();
        manager.setRealm(realm());
        return manager;
    }
    @Bean
    public ShiroFilterFactoryBean shiroFilter(SecurityManager securityManager) {
        ShiroFilterFactoryBean bean = new ShiroFilterFactoryBean();
        bean.setSecurityManager(securityManager);
        Map<String, String> filterMap = new LinkedHashMap<>();
        filterMap.put("/login", "anon");
        filterMap.put("/logout", "logout");
        filterMap.put("/**", "authc");
        bean.setFilterChainDefinitionMap(filterMap);
        return bean;
    }
}

3.3 认证授权流程实现

3.3.1 登录控制器

@RestController
public class AuthController {
    @PostMapping("/login")
    public String login(@RequestParam String username, 
                       @RequestParam String password) {
        Subject subject = SecurityUtils.getSubject();
        UsernamePasswordToken token = new UsernamePasswordToken(username, password);
        try {
            subject.login(token);
            return "登录成功";
        } catch (AuthenticationException e) {
            return "认证失败: " + e.getMessage();
        }
    }
    @GetMapping("/admin")
    public String adminPage() {
        Subject subject = SecurityUtils.getSubject();
        if(subject.hasRole("admin")) {
            return "管理员页面";
        }
        throw new UnauthorizedException("无权访问");
    }
}

3.3.2 权限注解使用

@Service
public class UserService {
    @RequiresRoles("admin")
    public void deleteUser(Long userId) {
        // 删除用户逻辑
    }
    @RequiresPermissions("user:update")
    public void updateUser(User user) {
        // 更新用户逻辑
    }
}

3.4 高级特性实现

3.4.1 记住我功能

// 登录时设置
UsernamePasswordToken token = new UsernamePasswordToken(username, password);
token.setRememberMe(true);
subject.login(token);
// 配置Cookie
@Bean
public CookieRememberMeManager rememberMeManager() {
    CookieRememberMeManager manager = new CookieRememberMeManager();
    manager.setCookie(rememberMeCookie());
    manager.setCipherKey(Base64.decode("2AvVhdsgUs0FSA3SDFAdag=="));
    return manager;
}
@Bean
public SimpleCookie rememberMeCookie() {
    SimpleCookie cookie = new SimpleCookie("rememberMe");
    cookie.setMaxAge(7 * 24 * 60 * 60); // 7天
    return cookie;
}

3.4.2 会话管理

// 获取会话
Session session = subject.getSession();
session.setAttribute("userInfo", user);
// 会话监听
public class CustomSessionListener implements SessionListener {
    @Override
    public void onStart(Session session) {
        System.out.println("会话创建: " + session.getId());
    }
    // 其他监听方法...
}

四、最佳实践建议

Realm安全设计：
- 密码存储必须使用加盐哈希（推荐BCrypt）
- 避免在Realm中直接抛出数据库异常
- 实现supports方法明确支持的凭证类型

权限缓存策略：

@Bean
public CacheManager cacheManager() {
    return new MemoryConstrainedCacheManager();
    // 生产环境建议使用EhCache或Redis
}

异常处理优化：

@ControllerAdvice
public class GlobalExceptionHandler {
    @ExceptionHandler(UnauthorizedException.class)
    @ResponseBody
    public ResponseEntity<String> handleUnauthorized() {
        return ResponseEntity.status(403).body("无权访问");
    }
}

多Realm配置：

@Bean
public SecurityManager securityManager() {
    DefaultWebSecurityManager manager = new DefaultWebSecurityManager();
    List<Realm> realms = new ArrayList<>();
    realms.add(new JdbcRealm());
    realms.add(new LdapRealm());
    manager.setRealms(realms);
    return manager;
}

通过本文的系统学习，开发者可以全面掌握Shiro框架的核心机制，从基础认证到复杂RBAC模型实现，最终构建出安全可靠的企业级应用。实际开发中建议结合具体业务场景，灵活运用Shiro提供的各项功能，构建多层次的安全防护体系。

发表评论

开发者关注产品榜

最热文章

关于作者

被阅读数
被赞数
被收藏数

开发者热搜

Apache Shiro入门指南：从概念到RBAC模型与实战编程

一、Apache Shiro核心概念解析

1.1 三大核心组件

1.2 核心功能模块

二、RBAC模型深度解析

2.1 RBAC模型要素

2.2 权限设计实践

2.3 角色继承实现

三、Shiro入门实战编程

3.1 环境准备

3.2 核心配置实现

3.2.1 自定义Realm实现

3.2.2 Shiro配置类

3.3 认证授权流程实现

3.3.1 登录控制器

3.3.2 权限注解使用

3.4 高级特性实现

3.4.1 记住我功能

3.4.2 会话管理

四、最佳实践建议

相关文章推荐

文心一言接入指南：通过百度智能云千帆大模型平台API调用

从 MLOps 到 LMOps 的关键技术嬗变

Sugar BI教你怎么做数据可视化 - 拓扑图，让节点连接信息一目了然

更轻量的百度百舸，CCE Stack 智算版发布

打造合规数据闭环，加速自动驾驶技术研发

LMOps 工具链与千帆大模型平台

发表评论

开发者关注产品榜

千帆大模型服务与开发平台ModelBuilder

千帆大模型应用开发平台AppBuilder

秒哒-生成式应用开发平台

百度智能云客悦智能客服平台

最热文章

关于作者