Shiro 实战：Shiro密码的比对

上一次总结了如何实现一个简单的Shiro认证流程。首先通过前端页面的form表单提交，在Controller请求处理层获取了form表单中的账号密码，然后获取当前用户的Subject对象，执行了Subject的login方法进行登录操作，并将账号密码封装进Token对象，作为参数传入。而后面设置了认证需要的Realm类，该Realm类继承了AuthenticatingRealm父类，实现了doGetAuthenticationInfo方法，在doGetAuthenticationInfo方法中获取用户的账号密码，在做完一些校验后，传递给了SimpleAuthenticationInfo，并返回出去：

package com.test.shiro.realms;
import java.util.HashMap;
import java.util.Map;
import org.apache.shiro.authc.AuthenticationException;
import org.apache.shiro.authc.AuthenticationInfo;
import org.apache.shiro.authc.AuthenticationToken;
import org.apache.shiro.authc.LockedAccountException;
import org.apache.shiro.authc.SimpleAuthenticationInfo;
import org.apache.shiro.authc.UnknownAccountException;
import org.apache.shiro.authc.UsernamePasswordToken;
import org.apache.shiro.realm.AuthenticatingRealm;
import com.test.shiro.po.User;
public class ShiroRealm extends AuthenticatingRealm{
	
	private static Map<String,User> userMap = new HashMap<String,User>();
	static{
                //使用Map模拟数据库获取User表信息
		userMap.put("jack", new User("jack","aaa123",false));
		userMap.put("tom", new User("tom","bbb321",false));
		userMap.put("jean", new User("jean","ccc213",true));
	}
	@Override
	protected AuthenticationInfo doGetAuthenticationInfo(
			AuthenticationToken token) throws AuthenticationException {
		//1.把AuthenticationToken转换为UsernamePasswordToken
		UsernamePasswordToken userToken = (UsernamePasswordToken) token;
		
		//2.从UsernamePasswordToken中获取username
		String username = userToken.getUsername();
		
		//3.调用数据库的方法，从数据库中查询Username对应的用户记录
		System.out.println("从数据看中获取UserName为"+username+"所对应的信息。");
		//Map模拟数据库取数据
		User u = userMap.get(username);
		
		//4.若用户不行存在，可以抛出UnknownAccountException
		if(u==null){
			throw new UnknownAccountException("用户不存在");
		}
		
		//5.若用户被锁定，可以抛出LockedAccountException
		if(u.isLocked()){
			throw new LockedAccountException("用户被锁定");
		}
		
		//6.根据用户的情况，来构建AuthenticationInfo对象,通常使用的实现类为SimpleAuthenticationInfo
		//以下信息是从数据库中获取的
		//1)principal：认证的实体信息，可以是username，也可以是数据库表对应的用户的实体对象
		Object principal = u.getUsername();
		//2)credentials：密码
		Object credentials = u.getPassword();
		//3)realmName：当前realm对象的name，调用父类的getName()方法即可
		String realmName = getName();
		
		SimpleAuthenticationInfo info = new SimpleAuthenticationInfo(principal,credentials,realmName);
		
		return info;
	}
}

可以看到，代码中并没有账号密码的校验，那么Subject对象是如何通过Realm返回的AuthenticationInfo对象来进行账号密码比对的呢？

通过上面的登录流程我们可以知道，目前有两个对象是保存有用户的账号和密码信息的，一个是封装了前台用户在form表单中填写的账号密码信息的UsernamePasswordToken，一个是封装了从数据库取出的对应账号的账号密码信息的SimpleAuthenticationInfo对象。我们可以推测出，Shiro的密码比对一定是通过这两个对象进行比较的，那么Shiro是什么时候进行密码比对的呢？

其实并不难知道Shiro的校验位置，因为在Shiro进行密码比对时，一定会去拿UsernamePasswordToken和SimpleAuthenticationInfo中封装的密码信息，那么此时要调用UsernamePasswordToken的getPassword方法，或者调用SimpleAuthenticationInfo的getCredentials方法。

既然这样，可以关联UsernamePasswordToken的源代码，然后找到其getPassword方法，在该处打断点：

这样我们重新运行校验实例程序的时候，就可以发现校验的时机了。

我们在前台输入账号密码点击登录：

然后发现断点停止了，查看Debug的视窗，看一下在获取密码之前的操作是什么：

看到前四步的SimpleCredentialsMatcher有一个doCredentialsMatch方法，在该方法中就进行了密码比对工作：

public boolean doCredentialsMatch(AuthenticationToken token, AuthenticationInfo info) {
     Object tokenCredentials = getCredentials(token);
     Object accountCredentials = getCredentials(info);
     return equals(tokenCredentials, accountCredentials);
}

还可以看到，是我们自定义的ShiroRealm(AuthenticatingRealm为父类)执行的assertCredentialsMatch方法调用的该doCredentialsMatch方法进行密码比对：

protected void assertCredentialsMatch(AuthenticationToken token, AuthenticationInfo info) throws AuthenticationException {
    CredentialsMatcher cm = getCredentialsMatcher();
    if (cm != null) {
        if (!cm.doCredentialsMatch(token, info)) {
		//not successful - throw an exception to indicate this:
		String msg = "Submitted credentials for token [" + token + "] did not match the expected credentials.";
		throw new IncorrectCredentialsException(msg);
	}
    } else {
        throw new AuthenticationException("A CredentialsMatcher must be configured in order to verify " +
	"credentials during authentication.  If you do not wish for credentials to be examined, you " +
	"can configure an " + AllowAllCredentialsMatcher.class.getName() + " instance.");
    }
}

总结一下也就是，密码的具体比对工作是我们自定义的继承了AuthenticatingRealm父类的自定义Realm类调用CredentialsMatcher的doCredentialsMatch方法完成的。

目前，我们的密码比对是直接明文对比的，在实际的生产环境中，密码往往会进行加密工作，那么我们如何进行密码的加密呢？下一篇将介绍如何使用MD5盐值加密。

08、Shiro 实战：Shiro密码的比对