下面来说一下Shiro的认证。

如何来做Shiro的认证呢?首先回顾一下之前剖析的Shiro的HelloWorld程序中有关认证的部分代码:

//获取当前的Subject
Subject currentUser = SecurityUtils.getSubject();
//测试当前用户是否已经被认证(即是否已经登录)
if (!currentUser.isAuthenticated()) {
    //将用户名与密码封装为UsernamePasswordToken对象
    UsernamePasswordToken token = new UsernamePasswordToken("lonestarr", "vespa");
    token.setRememberMe(true);//记录用户
    try {
        currentUser.login(token);//调用Subject的login方法执行登录
    } catch (UnknownAccountException uae) {
        log.info("There is no user with username of " + token.getPrincipal());
    } catch (IncorrectCredentialsException ice) {
        log.info("Password for account " + token.getPrincipal() + " was incorrect!");
    } catch (LockedAccountException lae) {
        log.info("The account for username " + token.getPrincipal() + " is locked.  " +
                "Please contact your administrator to unlock it.");
    }
}

在上面的代码中,首先获取当前用户的Subject对象,然后通过Subject的isAuthenticated判断用户是否已经登录。如果没有登录,就需要创建一个UsernamePasswordToken进行账号密码的校验,在构造方法中传入账号和密码,然后将该token传入Subject的login方法即可进行校验。

那么要注意的是,账号和密码一般都是从前端的用户填写的form表单中获取的,验证用户登录是否成功,需要从数据库取出相关账号密码进行比对,才能确定用户是否可以登录系统。而在Shiro是如何通过UsernamePasswordToken进行账号密码校验的呢?

回顾一下之前的架构:

 

注意其中的Realm,在Shiro的架构中,负责和数据库交互的对象就是Realm对象。当校验账号与密码时,会使用Realm获取数据表中对应的记录,而比较密码的工作是Shiro来帮我们完成的(相关校验细节在下面)。

所以在Shiro中,完整的认证过程如下:

1、 获取当前的Subject,调用SecurityUtils.getSubject()进行获取;
2、 测试当前的用户是否已经被认证,即是否已经登录调用Subject的isAuthenticated方法;
3、 若没有被认证,则把用户名和密码封装为UsernamePasswordToken对象其中用户名与密码的获取流程如下:

1、用户打开填写用户名密码的表单页面
2、用户输入完账号密码后点击“登录”,会将请求提交到SpringMVC的Handler(Controller方法)
3、在相关的Controller请求处理方法中,通过形参或者HttpServletRequest对象获取前端页面表单中的账号密码。

4、 执行登录,调用Subject的login方法(参数为实现了AuthenticationToken接口的实现类,其中UsernamePasswordToken就是这样的类);
5、 自定义Realm的方法,从数据库获取对应的记录,返回给Shiro;

要实现自定义的Realm方法去获取数据库中的记录,具体过程如下:

1)创建类并实现Realm接口(授权/认证),如果我们只需要认证过程,继承AuthenticatingRealm类。

观察Realm接口的组成:

 

在上面的结构中,Realm实现认证的实际上是org.apache.shiro.realm.AuthenticatingRealm类,所以如果我们仅需要认证的话,单独继承AuthenticatingRealm类即可。

2)实现doGetAuthenticationInfo(AuthenticationToken)方法。

6、 由Shiro进行密码校验;

Shiro如何通过传入的token进行密码校验的呢?又是如何利用我们自定义的Realm进行数据库密码匹配的呢?来查看一下源代码:

currentUser.login(token);

上面当前用户的Subject的login方法如下:

public void login(AuthenticationToken token) throws AuthenticationException {
    clearRunAsIdentitiesInternal();
    Subject subject = securityManager.login(this, token);
    //下面代码省略...
}

可以看到校验时是使用的securityManager的login方法。而在securityManager的login中:

public Subject login(Subject subject, AuthenticationToken token) throws AuthenticationException {
    AuthenticationInfo info;
    try {
        info = authenticate(token);
    } catch (AuthenticationException ae) {
        //下面代码省略...
    }
    //下面代码省略...
}

调用了其父类的authenticate方法:

public AuthenticationInfo authenticate(AuthenticationToken token) throws AuthenticationException {
    return this.authenticator.authenticate(token);
}

可以看到其调用了认证器的authenticate方法,而在认证器的authenticate方法中调用了

doAuthenticate方法:

info = doAuthenticate(token);

而doAuthenticate逻辑如下所示:

public AuthenticationInfo doAuthenticate(AuthenticationToken token) throws AuthenticationException {
    assertRealmsConfidured();
    Collection<Realm> realms = getRealms();
    if(realms.size() == 1 ){
        return doSingleRealmAuthentication(realms,iterator().next,authenticationToken);
    }else{
        return doMutiRealmAuthentication(realms,authenticationToken);
    }
}

可以看到,在doAuthenticate方法中,首先会获取所有的Realm,然后根据Realm的数量来决定使用单个Realm的校验方法,还是多个Realm的校验方法。在配置了单个Realm时,调用的是doSingleRealmAuthentication方法,在该方法中会通过Realm根据token获取AuthenticationInfo对象:

AuthenticationInfo info = realm.getAuthenticationInfo(token);

而在getAuthenticationInfo方法中执行了doGetAuthenticationInfo方法来获取AuthenticationInfo对象。

info = doGetAuthenticationInfo(token);

doGetAuthenticationInfo方法就是AuthenticationRealm抽象类的抽象方法,而该方法就是上面的校验过程中,实现认证的自定义Realm需要实现的方法。所以在仅实现认证的情况下,创建的自定义Realm只需要单独继承AuthenticatingRealm类,并实现其doGetAuthenticationInfo(AuthenticationToken)方法即可。