整合Shiro+Jwt

整合Shiro+Jwt大体思路

springboot整合shiro大体上的思路：

1.自定义一个类Realm extends AuthorizingRealm{}

主要是对token授权和认证

重写2个方法

doGetAuthorizationInfo  //授权

doGetAuthenticationInfo  //认证
认证 代码中手动加上对token校验的判断

2.自定义一个@Configuration类ShiroConfig

ShiroConfig类主要做3个事情

将自定义的Realm注册bean

将realm对象与securityManager对象关联  

securityManager.setRealm(realm);

将securityManager对象与ShiroFilterFactoryBean对象关联

shiroFilterFactoryBean.setSecurityManager(getDefaultWebSecurityManager);

3.整合jwt

先定义公共类JwtUtils

其中定义三个方法 作用分别为token生成  token校验  token是否过期

在realm类的认证doGetAuthenticationInfo方法中调用JwtUtils解析token和登录用户是否满足条件

满足则返回AuthenticationInfo对象 对象中包含profile token name

(只需要定义个profile就好了  profile就是登录的用户信息  可以再定义一个用户实体类  把用户信息放入实体类中那这个对象类就是profile)

边学边整理思路  详细的得边敲边看代码

Shiro整合JWT的两种方式

1.通过URL进行权限控制：

• 配置方式： 在Shiro的配置文件（通常是shiro.ini或shiro-config.xml）中配置URL路径与权限的映射关系。这个配置指定了哪些URL需要哪些权限。

<property name="filterChainDefinitions">
    
    /admin/** = roles[admin], perms["user:delete"]
    /user/** = authc
property>

代码示例： 在Java代码中，只需配置Shiro的FilterChainDefinitionMap，将URL路径和权限映射起来。

Map filterChainDefinitionMap = new LinkedHashMap<>();
filterChainDefinitionMap.put("/admin/**", "roles[admin]");
filterChainDefinitionMap.put("/user/**", "authc");

特点：

• 静态配置：权限规则在配置文件中静态定义，不易动态改变。
• 适用于简单的权限需求，不需要频繁修改权限规则。

2.通过注解进行权限控制：

• 配置方式： 在需要进行权限控制的Controller类或方法上使用Shiro提供的注解，如@RequiresRoles和@RequiresPermissions。

@Controller
@RequestMapping("/admin")
public class AdminController {
 
    @RequiresRoles("admin")
    @GetMapping("/view")
    public String adminView() {
        // 处理业务逻辑
        return "admin/view";
    }
}

特点：

• 动态控制：权限规则可以根据方法的注解动态变化，不需要重新配置。
• 精细控制：可以根据方法级别的注解进行更精细的权限控制。

3.配置文件和注解的关系：

• 在项目中，通常会将基本的URL路径与权限的映射关系配置在配置文件中，这些是项目的基础权限。然后，通过注解在Controller中进行更精细的权限控制，例如，限制某个Controller的某个方法需要特定的角色或权限。

<property name="filterChainDefinitions">
    
    /admin/** = roles[admin], perms["user:delete"]
    /user/** = authc
property>

@Controller
@RequestMapping("/admin")
public class AdminController {
 
    @RequiresRoles("admin")
    @GetMapping("/view")
    public String adminView() {
        // 处理业务逻辑
        return "admin/view";
    }
}

1. 这种组合方式可以实现项目中灵活的权限控制，基本权限由配置文件定义，而特殊权限由注解在代码中控制，使得权限管理更加清晰和可维护。

通过这种组合方式，您可以在项目中实现动态和精细的权限管理，同时保持基本权限的静态配置，以适应不同的权限需求。

对比说明

1. 通过URL进行权限控制：

首先，配置Shiro的过滤器和URL拦截规则，然后在控制器中添加注解。

Shiro配置文件 (shiro.ini 或 shiro-config.xml):

<bean id="jwtFilter" class="com.example.JWTFilter">bean>
 
<filter-mappings>
    <filter-name>jwtFilterfilter-name>
    <url-pattern>/api/**url-pattern>
filter-mappings>

控制器 (AdminController.java):

@Controller
@RequestMapping("/admin")
public class AdminController {
 
    // 需要admin:view权限才能访问
    @GetMapping("/view")
    public String view() {
        return "admin/view";
    }
 
    // 其他业务方法
}

2. 通过注解进行权限控制：

在控制器方法上添加Shiro的注解来声明需要的角色或权限。

控制器 (AdminController.java):

@Controller
@RequestMapping("/admin")
public class AdminController {
 
    @RequiresPermissions("admin:view") // 使用注解声明需要admin:view权限
    @GetMapping("/view")
    public String view() {
        return "admin/view";
    }
 
    // 其他业务方法
}

上述代码演示了通过URL控制和通过注解控制权限的两种方式。通过URL控制更加基于URL模式，适用于相对简单的权限需求，可以在配置文件中进行集中管理。通过注解控制更加直观，能够明确指定每个方法的权限要求，适用于需要细粒度控制的情况。

合二为一：

Shiro配置文件 (shiro.ini 或 shiro-config.xml):

<bean id="jwtFilter" class="com.example.JWTFilter">bean>
 
<filter-mappings>
    <filter-name>jwtFilterfilter-name>
    <url-pattern>/api/**url-pattern>
filter-mappings>

控制器 (AdminController.java):(注意两种方式代码基本一致，只是注释有区别)

@Controller
@RequestMapping("/admin")
public class AdminController {
 
    @RequiresPermissions("admin:view") // 使用注解声明需要admin:view权限
    @GetMapping("/view")
    public String view() {
        return "admin/view";
    }
 
    // 其他业务方法，例如编辑管理员信息，需要admin:edit权限
    @RequiresPermissions("admin:edit")
    @GetMapping("/edit")
    public String edit() {
        return "admin/edit";
    }
 
    // 删除管理员，需要admin:delete权限
    @RequiresPermissions("admin:delete")
    @GetMapping("/delete")
    public String delete() {
        return "admin/delete";
    }
 
    // 其他业务方法
}

在上述示例中，我们添加了更多的业务方法，如编辑管理员信息和删除管理员，并使用Shiro的@RequiresPermissions注解明确指定每个方法需要的权限要求。例如，edit方法需要admin:edit权限，delete方法需要admin:delete权限。