四.SecurityManager組件介紹

1.Authorizer:

• 定義：操作授權(quán)認(rèn)證組件，通過配置 Realm 實現(xiàn)或jsp標(biāo)簽，常用于角色授權(quán)

public class NormalRealm extends AuthorizingRealm{

    @Resource
    private AuthorityPermissionService permissionService;
    @Resource
    private AuthorityUsersService authorityUsersService;

    @Override
    protected AuthorizationInfo doGetAuthorizationInfo(PrincipalCollection principalCollection) {
        SimpleAuthorizationInfo authorizationInfo = new SimpleAuthorizationInfo();//創(chuàng)建Shiro權(quán)限數(shù)據(jù)對象
        Integer userId = Integer.valueOf(principalCollection.toString());//獲取當(dāng)前用戶ID
        AuthorityUsers users = this.authorityUsersService.findById(userId);
        if (users != null) {
            if (users.getAdministrator() == 1) {
                //如果是超級管理員,賦予所有權(quán)限
                authorizationInfo.addStringPermission("*");
            } 
        }
        return authorizationInfo;
    }

    @Override
    protected AuthenticationInfo doGetAuthenticationInfo(AuthenticationToken authenticationToken) throws AuthenticationException {
   
        return null;
    }
}

2. Authenticator(認(rèn)證器)

• 定義：對用戶的身份驗證（登錄）嘗試負(fù)責(zé)的組件

public class NormalRealm extends AuthorizingRealm {
    @Override
    protected AuthorizationInfo doGetAuthorizationInfo(PrincipalCollection principals) {
        return null;
    }

    //認(rèn)證
    @Override
    protected AuthenticationInfo doGetAuthenticationInfo(AuthenticationToken token) throws AuthenticationException {
        UsernamePasswordToken usernamePasswordToken = (UsernamePasswordToken) token;
        Object principal = usernamePasswordToken.getPrincipal();
        Object credentials = usernamePasswordToken.getCredentials();
        SimpleAuthenticationInfo info = new SimpleAuthenticationInfo(principal, credentials, getName());
        return info;
    }
}

3. SessionManager(會話管理器)

• 定義：SessionManager是用來管理Session的組件，包括：創(chuàng)建，刪除，inactivity(失效)及驗證
• Shiro提供了三個默認(rèn)實現(xiàn)，我們常用DefaultWebSessionManager自定義管理

    * DefaultSessionManager：DefaultSecurityManager使用的默認(rèn)實現(xiàn)，用于JavaSE環(huán)境；
    * ServletContainerSessionManager：用于Web環(huán)境，其直接使用Servlet容器的會話；
    * DefaultWebSessionManager：用于Web環(huán)境的實現(xiàn)，可以替代2，自己維護著會話，直接廢棄了Servlet容器的會話管理。

• 結(jié)構(gòu)圖

  
  
  image.png
• 常用實現(xiàn)功能
  • 監(jiān)聽session狀態(tài)，實現(xiàn)過程在類4中

public class sessionLister implements SessionListener {
    @Override
    public void onStart(Session session) {   
    }
    @Override
    public void onStop(Session session) {
    }
    @Override
    public void onExpiration(Session session) {
    }
}

  @Bean
    public SessionManager sessionManager(RedisSessionDAO sessionDAO) {
        sessionManager.setSessionListeners( new sessionLister() );
        return sessionManager;
    }

• • Session持久化,自定義sessionDAO組件
    sessionDAO：屬性sessionDAO,自定義SessionDAO實現(xiàn)AbstractSessionDAO，包含增刪改查方便，可以將session持久化到redis，數(shù)據(jù)庫中。但如果你不打算實現(xiàn)你自己的SessionDAO，那么強烈地建議你為Shiro 的SessionManagerment 啟用EHCache Manager 支持，將會在內(nèi)存中保存會話。

@Component
public class RedisSessionDAO extends AbstractSessionDAO {
    @Resource(name = "redisTemplate")
    private ValueOperations<Serializable, Session> valueOperations;

    @Override
    public void update(Session session) throws UnknownSessionException {
        this.saveSession(session);
    }

    @Override
    public void delete(Session session) {
        if (session == null || session.getId() == null) {
            logger.error("session or session id is null");
            return;
        }
        valueOperations.getOperations().delete(session.getId());

    }

    //用來統(tǒng)計當(dāng)前活動的session
    @Override
    public Collection<Session> getActiveSessions() {
        return sessions;
    }

    @Override
    protected Serializable doCreate(Session session) {
        return sessionId;
    }

    @Override
    protected Session doReadSession(Serializable sessionId) {
        return s;
    }
}

  @Bean
    public SessionManager sessionManager(RedisSessionDAO sessionDAO) {
        sessionManager.setSessionDAO(sessionDAO);
        return sessionManager;
    }

• • 創(chuàng)建會話Cookie的模板(參照SimpleCookie)

  @Bean
    public SessionManager sessionManager(SimpleCookie simpleCookie) {
        sessionManager.sessionIdCookie(sessionDAO);
        return sessionManager;
    }

4.緩存管理器

• CacheManager 實例會自動地直接傳送到SessionDAO。然后當(dāng)SessionManager 要求EnterpriseCacheSessionDAO 去持久化一個Session 時，默認(rèn)它使用一個EHCache 支持的Cache實現(xiàn)去存儲Session 數(shù)據(jù)，若配置其他緩存實現(xiàn)，不需配置，主要是緩存到本地。