RBAC与shiro

1.什么是RBAC模型

2.RBAC模型的注意点

3.RBAC怎样与shiro进行集成使用

本次分享主要是在思想层面对企业中经常用到的RBAC模型与shiro继承,做一个简单的分析,因为几乎没有代码层面的分析,所有需要读者对shiro与rbac模型有一个简单的理解。

本次分享面对想要集成RBAC模型与shiro的初学者,主要是为了给大伙提供一个思路,具体的shiro框架配置,还是需要自己采坑的,不过思路有了,坑这东西,踩踩也就出来了。

---张大鑫2019年3月22日

什么是RBAC模型

RBAC模型是一个解决用户权限问题的设计思维。

在最简单的RBAC模型中,将用户表设计为如下几个表

1. 用户
2. 角色
3. 权限

以及这三张表衍生出来的两张中间表

1. 用户_角色表
2. 权限_角色表

上面描述的5张表就构成了最基本也是最成熟的RBAC模型,可以看得出RBAC模型中的核心是角色,所有与用户相关的权限都是通过角色表进行关联的!在今后我们可能会用到的按钮元素表,样式表等各种各样的资源表最终都如权限表一般,与角色进行关联。RBAC的哲学就是,认角色不认用户,所有的查询都时通过角色来完成的。

RBAC模型的注意点

我们之所以要用到RBAC模型,本质上是为了实现两个功能

1. 资源对用户的可见性,例如:当前用户对用的角色是否能"看到"某个菜单项或是某个按钮,这一部分其实重在前端渲染,资源的可见性并不能保证资源安全,当有心人拿到资源的请求路径时依旧可以发出相应的请求。在我看来,对资源的可见性,更多的是对用户的体验上的优化。
2. 对请求的鉴权,这部分才应该是我们关注的核心点。

需要注意的是,对于资源可见性的控制上,我们只要简单的将五张表进行关联查询,然后通过foreach渲染出用户可见的按钮即可,没有什么复杂的操作。无论是前后端分离的项目还是,传统项目或是各种模板引擎,都建议这个做,当然了还有别的做法shiro自带了jsp渲染规则,大伙看看就好。

而对请求鉴权时,如果我们通过手写filter就显得极不优雅,不便于维护。所以就需要结合一些权限框架来使用,在项目中我优先推荐使用阿帕奇的shiro。因为大伙都能快速入手,学习曲线平稳,框架灵活又安全,吹了这么多我只想说一句,spring security真难用(当然应该是我太菜了-_-)。

在RBAC模型中,整个系统中需要进行鉴权的菜单,按钮,API,其实都是公共的一套,通过鉴权来实现不同角色展示不同的菜单。

查询权限列表的思路

当我们在鉴权的时候,最终都是要查询出一个collection集合,在使用mybatis的时候其实就是通过多表查询出一个collection集合。伪代码如下

user代表用户表

role代表角色表

permission代表权限表

user_role代表用户角色中间表

role_permission代表用户权限中间表

@Select(select 权限字段名称 from 
        user,user_role,role,role_permission,permission
        where 
        user.主键 = user_role.用户主键 
        and role.主键 = user_role.角色主键 
        and role.主键 = role_permission.角色主键 
        and permission.主键 = role_permission.权限主键 
        and user.主键 = ?

这样就可以查询出当前用户包含的所有的权限名称列表,shiro就是通过权限名称来进行鉴权处理的,返回结果最好用Set<String>来接收,一个是为了放置重复,虽然说重复了也没啥,另一个是为了在构造函数中传入set集合,但是这个也没啥用,因为! 1553226686013.png

不过这是角色构建,讲道理在权限这块,大家与查询role套路保持一致能清晰一点点。

RBAC怎样与shiro进行集成使用

我们想要将RBAC与shiro集成使用,需要优先理解,为什么要这样做。

上面我已经提到了,在对请求进行鉴权的时候,我们碰到了一个小的难题。而shiro自定义realm集成AuthorizingRealm抽象类,就可以优雅的解决请求鉴权。

这里有一个小彩蛋,我们可以只实现认证的realm,但是在项目中我们肯定时实现授权的realm即AuthorizingRealm,为什么授权的realm中既有认证方法又有授权方法呢?猜测是因为,在shiro中认证是鉴权的前置条件(其实好像在任何情况下都是这样,不进行认证我都不知道用户身份那么何谈鉴权---确定当前身份有什么样的权限嘞),所以shiro在实现鉴权realm时,并不需要继承认证的自定义realm。

具体要怎么做的?

其实套路很简单,就是以RABC模型中的角色为桥梁,查出当前用户对应的所有权限,这一步上一个专题有讲述,然后

这个是shiro框架的基础配置
@Configuration public class ShiroConfiguration {
    //@Bean
    //public CustomMatcher getCustomMatcher(){
    //    return new CustomMatcher();
    //}
 
    //配置自定义的Realm,这个realm是自定义的认证鉴权逻辑    
    @Bean    
    public CustomRealm getRealm() {        
        CustomRealm customRealm = new CustomRealm();
        //customRealm.setCredentialsMatcher(customMatcher);
        return customRealm;
        //在realm中也可以自定义我们的密码校验逻辑,shiro文档搜索 CredentialsMatcher就知道怎么玩了
    }

     //配置安全管理器    
    @Bean    
    public SecurityManager securityManager(CustomRealm realm) {        
        //使用默认的安全管理器        
        DefaultWebSecurityManager securityManager = new DefaultWebSecurityManager(realm);        
        //将自定义的realm交给安全管理器统一调度管理        
        securityManager.setRealm(realm);        
        return securityManager;    
    }
 
    //Filter工厂，设置对应的过滤条件和跳转条件    
    @Bean    
    public ShiroFilterFactoryBean shirFilter(SecurityManager securityManager) {        
        //1.创建shiro过滤器工厂        
        ShiroFilterFactoryBean filterFactory = new ShiroFilterFactoryBean();        
        //2.设置安全管理器
        filterFactory.setSecurityManager(securityManager);          //3.通用配置（配置登录页面，登录成功页面，验证未成功页面）  
        filterFactory.setLoginUrl("/autherror?code=1"); 
        //设置登录页面       
        filterFactory.setUnauthorizedUrl("/autherror?code=2"); 
        //授权失败跳转页面     
        //4.配置过滤器集合      
        Map<String,String> filterMap = new LinkedHashMap<String,String>();       
        // 配置不会被拦截的链接 顺序判断      
        filterMap.put("/user/home", "anon");  
        filterMap.put("/user/**", "authc");
 
        //5.设置过滤器       
        filterFactory.setFilterChainDefinitionMap(filterMap);        return filterFactory;  
    }
}

将每个url需要的权限进行配置(可以使xml或是@configuration)

再将构造一个SimpleAuthorizationInfo,调用public void addObjectPermissions(Collection<Permission> permissions)

将权限列表设置进当前的角色中。这样就完成了权限的校验

总结

我们在配置shiro的时候,可以参考文档,比如配置上面的ShiroFilterFactoryBean时就可以参考 .png 1553222550746.png

每一个shiro注解配置的对象,都可以在文档中找到具体的配置内容。

上面啰嗦了这么多,其实需要非常关注的点有两个:

1. 第一就是视图层面我们是通过查库以及渲染规则来完成客户体验层面的鉴权的,这一步无需shiro的介入(当然shiro中也有关于jsp权限渲染的内容,但是不做介绍了,自己查库渲染比使用shiro自带的jsp渲染要思路清晰的多,而且没有技术壁垒,可以用于各种技术中)。
2. 第二点是,在url鉴权时,通过shiro来完成,主要是通过设置filterfactory自定义权限鉴定规则,以及自定义AuthorizingRealm时注入权限列表来完成请求访问层面的鉴权。