Shiro 身份认证
身份认证是判断一个用户是否为合法用户的过程。最常用的认证方式是系统核对用户输入的用户名和密码，查看是否与系统存储的用户名和密码匹配，来判断用户身份的正确性。除了使用文本密码，还可以使用用户的生物学特征（如：指纹、面部特征）作为认证凭证。
下面一个小节，我将编写第一个 Shiro 程序，演示用户登录流程。
第一个Shiro程序
Java 中使用 Shiro 执行身份认证的过程可以分解为如下步骤：
收集 Subject 的 principals（账户） 和 credentials（密码）；提交 principals 和 credentials 给认证系统；得到认证结果：认证通过允许访问、重试认证、认证失败阻止访问。
环境配置
案例基于 Maven 构建，pom.xml 配置：
项目结构： Shiro 支持 INI 格式来构建SecurityManager对象及其组件，在本案例中将使用[users]小节，定义一组静态的用户账户。
[users]
wzz = 123456abc
zyy = 87667
Main 的完整代码如下，我将分块分析这部分代码：
import org.apache.shiro.SecurityUtils;
import org.apache.shiro.authc.AuthenticationException;
import org.apache.shiro.authc.UsernamePasswordToken;
import org.apache.shiro.config.IniSecurityManagerFactory;
import org.apache.shiro.mgt.SecurityManager;
import org.apache.shiro.subject.Subject;
import org.apache.shiro.util.Factory;
public class Main {
public static void main(String[] args) {
Factory
SecurityManager securityManager = factory.getInstance();
SecurityUtils.setSecurityManager(securityManager);
UsernamePasswordToken wzzToken = new UsernamePasswordToken("wzz", "123456abc"); // 密码正确
wzzToken.setRememberMe(true);
UsernamePasswordToken zyyToken = new UsernamePasswordToken("zyy", "1111"); // 密码错误
Subject subject = SecurityUtils.getSubject();
try {
subject.login(wzzToken);
System.out.println("wzz 身份验证成功");
} catch (AuthenticationException e) {
System.out.println("wzz 身份认证失败");
} finally {
subject.logout();
}
try {
subject.login(zyyToken);
System.out.println("wzz 身份验证成功");
} catch (AuthenticationException e) {
System.out.println("zyy 身份认证失败");
}finally {
subject.logout();
}
}
}
Step 0：依据 INI 配置构建 SecurityManager
Shiro 支持 INI 格式来构建SecurityManager对象及其支持组件。INI 易于阅读，易于配置，易于设置，非常适合大多数应用程序。INI 配置文件可以从文件系统、类路径或 url 中获取，前缀分别为file:、classpath:或url:。 案例中 INI 配置文件位于 resources 目录下，即从类路径加载，通过IniSecurityManagerFactory实例可以根据配置生成SecurityManager实例，通过SecurityUtils.setSecurityManager注册为全局安全管理器。
import org.apache.shiro.SecurityUtils;
import org.apache.shiro.util.Factory;
import org.apache.shiro.mgt.SecurityManager;
import org.apache.shiro.config.IniSecurityManagerFactory;
...
Factory
SecurityManager securityManager = factory.getInstance();
SecurityUtils.setSecurityManager(securityManager);
Step1：收集用户身份和凭证
UsernamePasswordToken wzzToken = new UsernamePasswordToken("wzz", "123456abc");
wzzToken.setRememberMe(true);
UsernamePasswordToken是最常用的身份认证 token，使用该 token 可以绑定用户名和密码。用户密码可以通过多种方式传递给应用（例如：web 表单、HTTP 头、命令行）。在Shiro中，如何获取它们并不重要——它与协议无关。setRememberMe()：使应用在用户返回后能记住用户身份。
Step2：提交身份、凭证给认证系统
收集了用户提交的 token 中的信息，并设置记住用户身份后，下一步是将 token 交给认证系统。在 Shiro 中，Realm组件负责：
查询存储在持久层（如：数据库）中的账户信息；与提交的 token 中的 principal 和 credential 相互比较；
换句话来说，Realm实例就是 Shiro 中用于安全领域针对特定数据源的数据访问对象（DAO）。
Subject subject = SecurityUtils.getSubject(); // (1)
try {
subject.login(wzzToken); //(2)
System.out.println("wzz 身份验证成功");
} catch (AuthenticationException e) { // （3）
System.out.println("wzz 身份认证失败");
} finally {
subject.logout(); // (3)
}
标记(1)：获取当前执行线程的主题(Subject)，在 Shiro 中每个执行线程均有一个Subject实例，使用SecurityUtils.getSubject()可获取。该实例表示与系统交互的当前用户是谁，在登录前，subject 是匿名的，没有任何与它相关的身份数据。 标记(2)：有了Subject实例作为用户身份数据的表示后，调用Subject#login方法，提交 Step1 构造的令牌 wzzToken，进行身份验证。 如果login()方法调用成功，用户成功登录并与一个账户或身份相关联。从此开始，用户可以使用该应用，并在会话期间或更长时间内保持身份（因为设置了Remember Me）。 标记(3)：当用户使用完应用程序后，调用logout()执行注销操作，注销操作将关闭用户会话，并从 subject 实例中移除任何相关的身份信息。
多Realm认证序列
很多情况下，SecurityManager 管理了不止一个 Realm 实例，这引出了如下问题：
身份认证时，管理器会以什么顺序编排 Realm 实例，从而将 Token 逐个提交给这些 Realm，完成与【持久层中存储的身份信息】的比对。subject.login(token) 的成功条件是什么？ 如果只有一个 Realm，这个问题很容易回答，Realm 实例查询得到的凭证(credentials) 与提交的 Token 匹配，登录操作成功。 如果存在多个 Realm，根据上述标准，可能出现如下场景：全部 Realm 的认证尝试均成功、部分 Realm 认证成功而剩余的 Realm 认证录失败、所有 Realm 认证尝试均失败。 由此，我们引出 身份认证策略 AuthenticationStrategy 这一概念，根据用户指定的认证策略，安全管理器才能确定登录操作是否成功。
Shiro 身份认证流程
Shiro 与身份认证的流程分为五个步骤，涉及的相关组件如下： 步骤1：应用程序传入AuthenticationToken代表最终用户主体(principal)和凭证(credential)的构造实例。 步骤2：Subject实例（通常为DelegatingSubject实例）login方法调用SecurityManager#login，开始实际的身份验证工作。
步骤3：SecurityManager将认证工作委托给内部实例authenticator.authenticate(token)，authenticator 总是为ModularRealmAuthenticator实例，它支持将账户查询委派给Realm集合。
步骤4：如果应用中配置了不止1个Realm，ModularRealmAuthenticator实例将根据其配置的AuthenticationStrategy，使用多个Realm尝试进行身份认证。在调用 Realms 进行身份认证之前、期间和之后， AuthenticationStrategy将用于对 Realm 查询的结果作出反应。
步骤5：认证过程中，会通过Realm#supports方法判断，Realm 是否支持提交的AuthenticationToken实例。如果当前Realm 支持该令牌类型，Realm#getAuthenticationInfo方法将被调用。
为了印证上述描述并加深理解，下面展示并解说ModularRealmAuthenticator#doMultiRealmAuthentication方法：
protected AuthenticationInfo doMultiRealmAuthentication(Collection
AuthenticationStrategy strategy = getAuthenticationStrategy(); // 获取认证策略
AuthenticationInfo aggregate = strategy.beforeAllAttempts(realms, token); // (2)
for (Realm realm : realms) {
try {
aggregate = strategy.beforeAttempt(realm, token, aggregate); // (3)
} catch (ShortCircuitIterationException shortCircuitSignal) {
// Break from continuing with subsequnet realms on receiving
// short circuit signal from strategy
break;
}
if (realm.supports(token)) { // (4)
AuthenticationInfo info = null;
Throwable t = null;
try {
info = realm.getAuthenticationInfo(token); // (5)
} catch (Throwable throwable) {
t = throwable;
}
aggregate = strategy.afterAttempt(realm, token, info, aggregate, t); // (6)
}
}
aggregate = strategy.afterAllAttempts(token, aggregate); // (7)
return aggregate;
}
注释(1)：入参 realms 为应用配置的Realm实例集合，token 一般为用户登录的 id 和密码 (或令牌)； 注释(2)、(3)、(6)、(7)：AuthenticationStrategy提供的扩展点，用于在使用 Realm 集合中的实例查询账户信息的各个阶段，处理 Realm 返回结果。（分别是：开始身份认证前[2]、特定的Realm查询前[3]、特定的Realm实例查询完成后[6]、完成身份认证后[7] ）。下面我以AtLeastOneSuccessfulStrategy为例，简略介绍四个扩展点的实现：
beforeAllAttempts：实例化SimpleAuthenticationInfo并返回。beforeAttempt：直接返回 aggregate，不做处理。afterAttempt：如果聚合的认证信息 aggregateInfo 为空，初始化为 singleRealmInfo；如果非空，使用MergableAuthenticationInfo#merge合并多个Realm实例返回的认证信息。 afterAllAttempts：如果 aggregate 中至少包含一个账户(principal)信息，则返回 aggregate；否则，抛出AuthenticationException。这里可以看出，该认证策略要求用户提交的 Token 至少要在一个 Realm 实例通过认证，才能认定登录操作成功。
注释(4)：supports方法判断 token 是否为Realm实例支持的类型。本质是调用应用实现的getAuthenticationTokenClass()方法。
public boolean supports(AuthenticationToken token) {
return token != null && getAuthenticationTokenClass().isAssignableFrom(token.getClass());
}
注释(5)：调用Realm#getAuthenticationInfo查询身份认证信息，并与提交的 Token 匹配，返回值为AuthenticationInfo类型。
AuthenticationStrategy
当为应用程序配置两个以上 Realm 时，ModularRealmAuthenticator依赖内部的AuthenticationStrategy组件来确定身份验证尝试成功或失败的条件。 AuthenticationStrategy组件是无状态的，在身份认证过程中，会在如下四个阶段被使用：
在调用任何 Realm 之前；在调用单个 Realm 的 getAuthenticationInfo 方法之前；在调用单个 Realm 的 getAuthenticationInfo 方法之后立即调用；在调用了所有 Realm 之后；
另外，AuthenticationStrategy负责聚合来自每个成功Realm的结果，并将它们合并到单个AuthenticationInfo实例中。这个最终的聚合 AuthenticationInfo 实例是由 Authenticator 实例返回的，Shiro 最终用它表示 Subject 实例的身份信息。
Shiro有 3 个具体的AuthenticationStrategy实现:
AtLeastOneSuccessfulStrategy：如果至少一个 Realm 认证成功，总体的尝试被认为是成功的。如果没有任何 Realm 认证成功，尝试失败。FirstSuccessfulStrategy：只有从第一个成功验证的 Realm 返回的信息才会被使用。所有其他领域都将被忽略。如果没有认证成功，则尝试失败。AllSuccessfulStrategy：所有配置的 Realm 必须通过身份验证才能被认为是成功的。如果任何一个身份验证不成功，则尝试失败。
ModularRealmAuthenticator默认使用AtLeastOneSuccessfulStrategy策略： 如果要更换为FirstSuccessfulStrategy策略，可在 shiro.ini 中进行如下配置：
[main]
authStrategy = org.apache.shiro.authc.pam.FirstSuccessfulStrategy
securityManager.authenticator.authenticationStrategy = $authStrategy
配置Realms认证策略
当执行身份验证尝试时，ModularRealmAuthenticator将迭代遍历Collection
隐式顺序：Realm 实例将按照 ini 文件中定义的顺序被调用。
blahRealm = com.company.blah.Realm
...
fooRealm = com.company.foo.Realm
...
barRealm = com.company.another.Realm
SecurityManager按照如下顺序blahRealm->fooRealm->barRealm调用 Realm 实例尝试身份认证。
显式顺序：设置 SecurityManager 实例的 realms 属性，显式指定 Realm 实例调用顺序。
blahRealm = com.company.blah.Realm
...
fooRealm = com.company.foo.Realm
...
barRealm = com.company.another.Realm
securityManager.realms = $fooRealm, $blahRealm, $barRealm
本例中，Realm 调用顺序为：fooRealm-->blahRealm-->barRealm，这与声明的顺序无关。
Realm认证流程详解
在【Shiro 身份认证流程】小节中，我介绍了当用户提交 Token 后，Shiro 框架的整体认证流程，其中提到当 SecurityManager 配置了多个 Realm 实例时，认证器ModularRealmAuthenticator实例会将账户查询与匹配工作分配给 Realm 集合。
校验令牌类型
这一节，我将介绍 Realm 实例收到认证器传递的账户信息后的认证流程，在此之前先让大家看一个异常：
java.lang.RuntimeException: org.apache.shiro.authc.pam.UnsupportedTokenException: Realm [cn.wzz.gateway.authorization.GatewayAuthorizingRealm@6b09bb57] does not support authentication token [cn.wzz.gateway.authorization.GatewayAuthorizingToken@6536e911].
Please ensure that the appropriate Realm implementation is configured correctly or that the realm accepts AuthenticationTokens of this type.
注意到异常描述Realm does not support authentication token[GatewayAuthorizingToken]，这个异常出现的原因为 GatewayAuthorizingToken 类型不被当前配置的 GatewayAuthorizingRealm 支持。
在使用 Realm 实例尝试身份认证前，它的 supports 方法会被调用，只有当 supports 返回true时，realm.getAuthenticationInfo(token)方法才会调用。 Realm 会使用 supports 检查提交的 token 的类型，判断是否能处理该类型的令牌。如果某个 Realm 实例用于认证生物特征信息（指纹、刷脸等），它很可能不能理解UsernamePasswordToken（用户名+密码），这种情况下会返回false。 解决措施： 方案一：在GatewayAuthorizingRealm中重写 supports 方法，supports方法用于检验当前 Realm 是否能处理某个类型的 token 实例。
方案二：重写getAuthenticationTokenClass()方法，配置该 Realm 处理的令牌类型。
// 配置Realm支持的Token类型, supports方法会校验
@Override
public Class getAuthenticationTokenClass() {
return GatewayAuthorizingToken.class;
**自我介绍一下，小编13年上海交大毕业，曾经在小公司待过，也去过华为、OPPO等大厂，18年进入阿里一直到现在。**
**深知大多数网络安全工程师，想要提升技能，往往是自己摸索成长，但自己不成体系的自学效果低效又漫长，而且极易碰到天花板技术停滞不前！**
**因此收集整理了一份《2024年网络安全全套学习资料》，初衷也很简单，就是希望能够帮助到想自学提升又不知道该从何学起的朋友。**
**既有适合小白学习的零基础资料，也有适合3年以上经验的小伙伴深入学习提升的进阶课程，基本涵盖了95%以上网络安全知识点，真正体系化！**
**由于文件比较大，这里只是将部分目录大纲截图出来，每个节点里面都包含大厂面经、学习笔记、源码讲义、实战项目、讲解视频，并且后续会持续更新**
**如果你觉得这些内容对你有帮助，可以添加VX：vip204888 （备注网络安全获取）**
## 写在最后
**在结束之际，我想重申的是，学习并非如攀登险峻高峰，而是如滴水穿石般的持久累积。尤其当我们步入工作岗位之后，持之以恒的学习变得愈发不易，如同在茫茫大海中独自划舟，稍有松懈便可能被巨浪吞噬。然而，对于我们程序员而言，学习是生存之本，是我们在激烈市场竞争中立于不败之地的关键。一旦停止学习，我们便如同逆水行舟，不进则退，终将被时代的洪流所淘汰。因此，不断汲取新知识，不仅是对自己的提升，更是对自己的一份珍贵投资。让我们不断磨砺自己，与时代共同进步，书写属于我们的辉煌篇章。**
需要完整版PDF学习资源私我
**一个人可以走的很快，但一群人才能走的更远。不论你是正从事IT行业的老鸟或是对IT行业感兴趣的新人，都欢迎扫码加入我们的的圈子（技术交流、学习资源、职场吐槽、大厂内推、面试辅导），让我们一起学习成长！**
755)]
## 写在最后
**在结束之际，我想重申的是，学习并非如攀登险峻高峰，而是如滴水穿石般的持久累积。尤其当我们步入工作岗位之后，持之以恒的学习变得愈发不易，如同在茫茫大海中独自划舟，稍有松懈便可能被巨浪吞噬。然而，对于我们程序员而言，学习是生存之本，是我们在激烈市场竞争中立于不败之地的关键。一旦停止学习，我们便如同逆水行舟，不进则退，终将被时代的洪流所淘汰。因此，不断汲取新知识，不仅是对自己的提升，更是对自己的一份珍贵投资。让我们不断磨砺自己，与时代共同进步，书写属于我们的辉煌篇章。**
需要完整版PDF学习资源私我
**一个人可以走的很快，但一群人才能走的更远。不论你是正从事IT行业的老鸟或是对IT行业感兴趣的新人，都欢迎扫码加入我们的的圈子（技术交流、学习资源、职场吐槽、大厂内推、面试辅导），让我们一起学习成长！**
[外链图片转存中...(img-YsWybZLN-1713090504756)]
文章链接
您阅读本篇文章共花了：
发表评论