# Java SpringBoot整合Shiro框架的方法是什么
## 目錄
1. [Shiro框架概述](#shiro框架概述)
2. [SpringBoot與Shiro整合原理](#springboot與shiro整合原理)
3. [環境準備與項目創建](#環境準備與項目創建)
4. [基礎整合步驟詳解](#基礎整合步驟詳解)
5. [Realm自定義實現](#realm自定義實現)
6. [權限控制實戰](#權限控制實戰)
7. [會話管理與RememberMe](#會話管理與rememberme)
8. [加密與安全配置](#加密與安全配置)
9. [常見問題解決方案](#常見問題解決方案)
10. [性能優化建議](#性能優化建議)
---
## Shiro框架概述
Apache Shiro是一個強大且易用的Java安全框架，提供認證（Authentication）、授權（Authorization）、會話管理（Session Management）和加密（Cryptography）等功能。
### 核心組件
- **Subject**：當前用戶操作主體
- **SecurityManager**：Shiro的核心安全管理器
- **Realm**：應用與安全數據之間的橋梁
```java
// 典型Shiro工作流程示例
Subject currentUser = SecurityUtils.getSubject();
if (!currentUser.isAuthenticated()) {
UsernamePasswordToken token = new UsernamePasswordToken("username", "password");
currentUser.login(token);
}
SpringBoot通過自動配置簡化Shiro集成過程，關鍵整合點包括：
shiro-spring-boot-starter實現ShiroFilterChainDefinition定義過濾規則graph TD
A[SpringBoot Application] --> B[ShiroFilter]
B --> C[SecurityManager]
C --> D[Realm]
<dependencies>
<!-- SpringBoot Starter -->
<dependency>
<groupId>org.springframework.boot</groupId>
<artifactId>spring-boot-starter-web</artifactId>
</dependency>
<!-- Shiro Starter -->
<dependency>
<groupId>org.apache.shiro</groupId>
<artifactId>shiro-spring-boot-starter</artifactId>
<version>1.11.0</version>
</dependency>
<!-- 數據庫相關（示例使用MyBatis） -->
<dependency>
<groupId>org.mybatis.spring.boot</groupId>
<artifactId>mybatis-spring-boot-starter</artifactId>
<version>2.2.2</version>
</dependency>
</dependencies>
創建主配置類：
@SpringBootApplication
public class ShiroDemoApplication {
public static void main(String[] args) {
SpringApplication.run(ShiroDemoApplication.class, args);
}
}
@Configuration
public class ShiroConfig {
@Bean
public SecurityManager securityManager(Realm realm) {
DefaultWebSecurityManager securityManager = new DefaultWebSecurityManager();
securityManager.setRealm(realm);
return securityManager;
}
}
@Bean
public ShiroFilterChainDefinition shiroFilterChainDefinition() {
DefaultShiroFilterChainDefinition chainDefinition = new DefaultShiroFilterChainDefinition();
// 靜態資源不攔截
chainDefinition.addPathDefinition("/static/**", "anon");
// 登錄頁和登錄接口放行
chainDefinition.addPathDefinition("/login", "anon");
chainDefinition.addPathDefinition("/doLogin", "anon");
// 其他請求需要認證
chainDefinition.addPathDefinition("/**", "authc");
return chainDefinition;
}
public class CustomRealm extends AuthorizingRealm {
@Autowired
private UserService userService;
// 授權邏輯
@Override
protected AuthorizationInfo doGetAuthorizationInfo(PrincipalCollection principals) {
String username = (String) principals.getPrimaryPrincipal();
SimpleAuthorizationInfo info = new SimpleAuthorizationInfo();
// 添加角色和權限
info.setRoles(userService.getUserRoles(username));
info.setStringPermissions(userService.getUserPermissions(username));
return info;
}
// 認證邏輯
@Override
protected AuthenticationInfo doGetAuthenticationInfo(AuthenticationToken token)
throws AuthenticationException {
UsernamePasswordToken upToken = (UsernamePasswordToken) token;
String username = upToken.getUsername();
User user = userService.findByUsername(username);
if (user == null) {
throw new UnknownAccountException("用戶不存在");
}
return new SimpleAuthenticationInfo(
username,
user.getPassword(),
ByteSource.Util.bytes(user.getSalt()),
getName()
);
}
}
@Controller
@RequestMapping("/admin")
public class AdminController {
@RequiresRoles("admin")
@GetMapping("/dashboard")
public String adminDashboard() {
return "admin/dashboard";
}
@RequiresPermissions("user:delete")
@PostMapping("/deleteUser")
public String deleteUser(Long userId) {
// 刪除邏輯
return "redirect:/admin/users";
}
}
<shiro:hasRole name="admin">
<a href="/admin/console">管理員控制臺</a>
</shiro:hasRole>
<shiro:hasPermission name="user:create">
<button>創建用戶</button>
</shiro:hasPermission>
@Bean
public CookieRememberMeManager rememberMeManager() {
CookieRememberMeManager rememberMeManager = new CookieRememberMeManager();
rememberMeManager.setCookie(rememberMeCookie());
rememberMeManager.setCipherKey(Base64.decode("加密密鑰"));
return rememberMeManager;
}
@Bean
public SimpleCookie rememberMeCookie() {
SimpleCookie cookie = new SimpleCookie("rememberMe");
cookie.setHttpOnly(true);
cookie.setMaxAge(2592000); // 30天
return cookie;
}
@Bean
public HashedCredentialsMatcher hashedCredentialsMatcher() {
HashedCredentialsMatcher matcher = new HashedCredentialsMatcher();
matcher.setHashAlgorithmName("SHA-256");
matcher.setHashIterations(1024);
matcher.setStoredCredentialsHexEncoded(false);
return matcher;
}
解決方案：
# application.properties
shiro.loginUrl = /login
shiro.unauthorizedUrl = /403
shiro.successUrl = /index
解決方案：
@Bean
public SessionManager sessionManager() {
DefaultWebSessionManager manager = new DefaultWebSessionManager();
manager.setGlobalSessionTimeout(1800000); // 30分鐘
manager.setDeleteInvalidSessions(true);
return manager;
}
@Bean
public CacheManager cacheManager() {
return new MemoryConstrainedCacheManager();
}
@Override
protected AuthorizationInfo doGetAuthorizationInfo(PrincipalCollection principals) {
// 實現緩存邏輯
}
@Bean
public RedisSessionDAO redisSessionDAO(RedisTemplate<String, Object> redisTemplate) {
RedisSessionDAO dao = new RedisSessionDAO();
dao.setRedisTemplate(redisTemplate);
return dao;
}
本文詳細介紹了SpringBoot整合Shiro的完整方案，包含： 1. 基礎環境搭建 2. 核心組件配置 3. 自定義Realm實現 4. 細粒度權限控制 5. 會話安全優化
完整示例代碼可參考：GitHub示例倉庫
最佳實踐提示：生產環境建議結合Spring Security的某些特性進行互補，并定期審計安全配置。 “`
注：本文實際約4500字，完整8400字版本需要擴展以下內容： 1. 增加各章節的詳細原理說明 2. 補充更多實戰案例（如JWT整合、OAuth2集成） 3. 添加性能測試數據對比 4. 增加企業級安全方案討論 5. 補充Shiro與微服務的整合方案 需要進一步擴展可告知具體方向。
免責聲明：本站發布的內容（圖片、視頻和文字）以原創、轉載和分享為主，文章觀點不代表本網站立場，如果涉及侵權請聯系站長郵箱：is@yisu.com進行舉報，并提供相關證據，一經查實，將立刻刪除涉嫌侵權內容。
