《JAVA面经实录》- 权限管理框面试题

《JAVA面经实录》- 权限管理框面试题Java权限管理框架面试题23道高频题本文严格按照指定题目顺序整理每道题的面试标准回答补充要点贴合后端面试实战场景语言简洁、重点突出可直接用于备考适配初级到中级后端开发岗位。一、Shiro框架用过吗面试标准回答用过。Apache Shiro是一款轻量级的Java安全框架我在项目中主要用它实现身份认证登录验证、授权权限控制、密码加密、会话管理这几个核心功能。实际开发中我曾基于SpringBoot整合Shiro自定义Realm从数据库查询用户信息和权限配置密码匹配器实现MD5加盐加密通过注解式如RequiresRoles、RequiresPermissions和编程式两种方式实现权限控制同时整合Redis解决分布式项目的会话共享问题确保用户登录后多台服务器可正常访问。面试补充核心亮点Shiro不依赖Spring可独立使用配置简单、API简洁学习成本低适合中小型项目若项目是Spring生态也可无缝整合灵活性很高。二、Shiro的优点面试标准回答Shiro的核心优点的是轻量、简洁、易用、灵活具体可分为4点轻量级学习成本低API简洁直观配置简单无需深入了解底层原理上手速度快开发效率高不依赖Spring生态可独立使用也可与Spring、SpringBoot、MyBatis等框架无缝整合适配各类Java项目从小型项目到分布式项目功能完善且实用核心功能认证、授权、会话管理、密码加密齐全满足大多数项目的权限管理需求无需额外引入其他组件灵活性高支持自定义Realm、密码匹配器、会话管理器可根据业务需求灵活扩展适配复杂的权限场景。三、Shiro的核心组件?面试标准回答Shiro的核心组件围绕“认证授权”展开四大核心组件自上而下执行流程Subject → SecurityManager → Realm 辅助组件具体如下Subject主体代表当前登录的用户或程序是Shiro对外提供的核心入口所有操作登录、授权、登出都通过Subject发起比如subject.login(token)实现登录。SecurityManager安全管理器Shiro的核心中枢负责管理所有Subject协调其他组件Realm、SessionManager等的工作是Shiro的“大脑”项目中通常配置一个全局唯一的SecurityManager。Realm领域Shiro的“数据源”负责从数据库或其他存储介质中获取用户信息、权限信息供Shiro进行身份认证和授权验证。实战中必须自定义Realm重写认证doGetAuthenticationInfo和授权doGetAuthorizationInfo方法。SessionManager会话管理器负责管理Subject的会话支持JavaSE本地会话和JavaEEWeb会话可自定义会话存储如Redis解决分布式会话共享问题。辅助组件常用CredentialsMatcher密码匹配器校验用户输入的密码与数据库中加密密码是否一致CacheManager缓存管理器缓存用户权限信息减少数据库查询提升性能Cryptography加密模块提供MD5、SHA等常用加密算法避免明文存储密码。四、Shiro认证执行流程面试标准回答Shiro认证登录的核心是“校验用户输入的账号密码与数据库中存储的信息是否一致”完整流程分为5步结合实战逻辑1. 获取Subject对象通过SecurityUtils.getSubject()获取当前登录主体未登录时为匿名主体2. 封装登录信息创建UsernamePasswordToken对象存储用户输入的账号和密码3. 发起登录请求调用subject.login(token)方法触发Shiro的认证流程4. SecurityManager调用Realm进行认证SecurityManager接收请求后将请求转发给自定义RealmRealm的doGetAuthenticationInfo方法被调用从数据库查询该用户名对应的用户信息用户名、加密密码、盐值等CredentialsMatcher密码匹配器校验用户输入的明文密码与数据库中的加密密码加盐加密是否一致。5. 处理认证结果认证成功Subject被标记为“已认证”后续可进行授权操作认证失败抛出对应异常如UnknownAccountException账号不存在、IncorrectCredentialsException密码错误程序捕获异常并返回提示。五、Shiro授权执行流程面试标准回答Shiro授权的核心是“校验已认证用户是否拥有某个角色或权限”必须在认证成功后执行完整流程分为3步1. 用户认证成功后发起资源访问请求如访问/admin/list接口、调用删除用户方法2. Shiro拦截请求通过Subject获取当前用户的身份信息调用SecurityManager触发授权流程3. SecurityManager调用Realm的doGetAuthorizationInfo方法获取该用户的角色和权限信息与请求所需的角色/权限进行比对比对通过允许用户访问资源比对失败抛出UnauthorizedException未授权异常程序捕获并返回403禁止访问。面试补充授权的前提是“用户已认证”实战中授权通常结合注解式RequiresRoles、编程式subject.hasRole()两种方式实现。六、Shiro注解有哪些面试标准回答Shiro提供了多个注解用于实现注解式授权核心常用的有5个需在SpringBoot配置中开启EnableShiroAnnotation才能生效RequiresAuthentication要求用户必须认证成功后才能访问该方法/接口未认证则抛出异常RequiresRoles要求用户必须拥有指定的角色才能访问支持多角色如RequiresRoles(ADMIN)、RequiresRoles({ADMIN, USER})默认多角色需全部拥有RequiresRolesOr多角色任选其一即可访问如RequiresRolesOr({ADMIN, USER})拥有其中一个角色就可访问RequiresPermissions要求用户必须拥有指定的权限才能访问如RequiresPermissions(user:delete)拥有删除用户权限才可访问RequiresUser要求用户是“已认证”或“记住我”状态才能访问区别于RequiresAuthentication记住我状态也可访问。七、SpringSecurity了解吗面试标准回答了解SpringSecurity是Spring生态下的一款企业级安全框架基于Spring IoC/DI和AOP实现核心功能与Shiro类似但功能更全面、安全性更高。实际开发中我曾用SpringSecurity整合SpringBoot实现用户认证、基于角色/权限的授权、JWT无状态认证同时利用其原生支持的CSRF防护、会话并发控制等功能解决项目中的安全问题。它与Spring生态深度整合自动配置能力强适合大型企业级项目比如电商、金融类项目对安全要求较高的场景。面试补充核心亮点原生支持OAuth2.0、JWT、LDAP无需额外整合内置多种安全防护机制开箱即用可灵活扩展适配复杂的权限和认证场景。八、SpringSecurity执行流程面试标准回答SpringSecurity的核心是“安全过滤器链SecurityFilterChain”所有请求都会经过过滤器链中的一系列过滤器完成认证和授权完整流程分为6步1. 用户发起请求如登录请求、资源访问请求2. 请求被过滤器链拦截首先经过SecurityContextPersistenceFilter初始化SecurityContext存储用户认证信息的上下文3. 若为登录请求会被UsernamePasswordAuthenticationFilter拦截封装请求中的用户名、密码为UsernamePasswordAuthenticationToken认证对象4. 该过滤器调用AuthenticationManager认证管理器的authenticate()方法发起认证AuthenticationManager调用UserDetailsService的loadUserByUsername()方法从数据库查询用户详情UserDetails对象PasswordEncoder密码编码器校验用户输入的明文密码与数据库中的加密密码是否一致。5. 认证结果处理认证成功将认证后的Authentication对象存入SecurityContext后续过滤器会根据该对象进行授权校验认证失败抛出对应异常由失败处理器FailureHandler处理返回登录失败提示。6. 授权校验请求经过授权过滤器如FilterSecurityInterceptor根据SecurityContext中的用户权限与请求所需权限比对通过则允许访问资源否则返回403。九、Shiro和SpringSecurity区别面试标准回答Shiro和SpringSecurity都是Java主流的权限管理框架核心区别体现在“轻量级vs企业级”具体对比重点记核心维度对比维度ShiroSpringSecurity核心定位轻量级安全框架简洁易用不依赖Spring企业级安全框架功能全面与Spring深度整合学习成本低API简洁配置简单上手快高组件多配置复杂需熟悉Spring生态功能完整性基础功能认证、授权、会话齐全高级功能OAuth2.0需手动整合功能全面原生支持OAuth2.0、JWT、CSRF防护无需额外整合Spring整合可整合但非原生支持需额外配置原生支持自动配置无缝整合SpringBoot、SpringCloud适用场景小型项目、非Spring项目、对安全要求不高的场景大型企业级项目、Spring生态项目、对安全要求高的场景电商、金融面试补充选择建议SpringBoot/SpringCloud项目优先选SpringSecurity小型项目、非Spring项目选Shiro开发效率更高。十、SpringSecurity如何解决跨域问题面试标准回答SpringSecurity解决跨域问题核心是结合Spring的CORS配置 关闭SpringSecurity的CSRF防护开发环境生产环境需谨慎因为SpringSecurity的默认过滤器会拦截跨域请求需手动配置允许跨域具体实现有2种方式方式一通过SpringSecurity配置类直接配置CORS推荐简洁Configuration EnableWebSecurity public class SecurityConfig { Bean public SecurityFilterChain securityFilterChain(HttpSecurity http) throws Exception { http // 1. 配置CORS允许跨域 .cors(cors - cors.configurationSource(corsConfigurationSource())) // 2. 开发环境关闭CSRF跨域请求会触发CSRF校验导致请求失败 .csrf(csrf - csrf.disable()) // 其他配置授权、认证 .authorizeHttpRequests(auth - auth.anyRequest().authenticated()); return http.build(); } // 配置CORS规则 Bean public CorsConfigurationSource corsConfigurationSource() { CorsConfiguration config new CorsConfiguration(); // 允许跨域的来源开发环境可设为*生产环境需指定具体域名 config.addAllowedOrigin(*); // 允许跨域的请求方法GET、POST、PUT等 config.addAllowedMethod(*); // 允许跨域的请求头 config.addAllowedHeader(*); // 允许携带Cookie跨域请求默认不携带Cookie config.setAllowCredentials(true); // 配置生效的路径所有路径 UrlBasedCorsConfigurationSource source new UrlBasedCorsConfigurationSource(); source.registerCorsConfiguration(/**, config); return source; } }方式二通过CrossOrigin注解局部跨域适用于单个接口/Controller// 单个接口跨域 RestController public class UserController { CrossOrigin(origins *, allowCredentials true) GetMapping(/user/list) public Result userList() { // 接口逻辑 return Result.success(); } } // 整个Controller跨域 RestController CrossOrigin(origins *, allowCredentials true) public class UserController { // 所有接口均允许跨域 }面试补充生产环境注意1. 不要将allowedOrigin设为*需指定具体的前端域名如http://localhost:8080提升安全性2. 若开启CSRF防护需在前端请求中携带CSRF令牌否则跨域请求会失败。十一、SpringSecurity如何对密码进行加密面试标准回答SpringSecurity 5.x后强制要求对密码进行加密核心通过PasswordEncoder接口实现该接口提供加密和密码匹配功能无需手动编写加密逻辑具体实现步骤1. 配置PasswordEncoder推荐使用BCrypt加密自适应加密安全性最高Configuration EnableWebSecurity public class SecurityConfig { // 配置密码编码器BCrypt Bean public PasswordEncoder passwordEncoder() { return new BCryptPasswordEncoder(); } }2. 用户注册时对密码进行加密存储Autowired private PasswordEncoder passwordEncoder; // 注册接口 RequestMapping(/register) public Result register(User user) { // 对明文密码进行BCrypt加密自动生成盐值无需手动处理 String encodedPassword passwordEncoder.encode(user.getPassword()); // 存储加密后的密码到数据库 user.setPassword(encodedPassword); userService.save(user); return Result.success(注册成功); }3. 认证时自动匹配密码SpringSecurity会自动调用PasswordEncoder的matches()方法将用户登录时输入的明文密码与数据库中存储的加密密码进行匹配无需手动校验// 自定义UserDetailsService查询用户信息 Service public class CustomUserDetailsService implements UserDetailsService { Autowired private UserService userService; Autowired private PasswordEncoder passwordEncoder; Override public UserDetails loadUserByUsername(String username) { User user userService.getByUsername(username); // 无需手动匹配密码SpringSecurity自动校验 return User.withUsername(user.getUsername()) .password(user.getPassword()) // 数据库中的加密密码 .authorities(user:list) .build(); } }面试补充1. 常用加密算法BCrypt推荐、MD5、SHA-256其中BCrypt会自动生成随机盐值避免相同密码加密后结果一致安全性最高2. 核心优势PasswordEncoder接口可灵活切换加密算法无需修改业务逻辑。十二、什么是单点登录面试标准回答单点登录Single Sign-On简称SSO是一种多系统统一认证机制核心是用户在多个相互信任的系统同一信任域中只需登录一次即可访问所有已授权的系统无需重复输入账号密码。比如企业的OA系统、CRM系统、财务系统都属于同一企业的系统用户登录OA系统后再访问CRM系统时无需再次登录直接可访问这就是单点登录的核心场景。核心作用提升用户体验无需记忆多个账号密码、简化系统管理统一管理认证信息便于权限控制和审计。十三、单点登录系统如果cookie禁用你们怎么解决?面试标准回答SSO默认通常用Cookie存储全局令牌如JWT、Ticket若用户禁用Cookie核心解决方案是将令牌通过URL参数、请求头传递确保令牌能在多系统间传递具体有2种常用方式方式一URL参数传递令牌简单易用适合小型场景用户登录认证中心成功后认证中心生成全局令牌将令牌拼接在跳转URL后面如http://systemA.com?tokenxxx跳回目标系统目标系统从URL参数中获取令牌调用认证中心接口验证令牌合法性验证通过则允许访问后续用户访问其他系统时前端手动将令牌拼接在URL参数中实现令牌传递。缺点URL参数会暴露令牌安全性较低需配合HTTPS使用且令牌不能包含敏感信息。方式二请求头传递令牌推荐安全性高用户登录认证中心成功后认证中心将令牌返回给前端前端将令牌存储在LocalStorage/SessionStorage中前端发起请求时通过请求头如Authorization: Bearer xxx将令牌传递给后端系统后端系统从请求头中获取令牌调用认证中心接口验证合法性验证通过则允许访问。优势令牌不暴露在URL中安全性高缺点需前端配合每次请求都要携带请求头。面试补充补充优化可结合两种方式开发环境用URL参数便捷生产环境用请求头HTTPS安全同时设置令牌短期过期配合刷新令牌机制进一步提升安全性。十四、SSO原理单点登录的过程面试标准回答SSO的核心原理是“统一认证中心 全局令牌机制”所有系统的认证都由认证中心统一处理多系统之间相互信任共享令牌信息具体过程以系统A、系统B和认证中心为例1. 用户访问系统A系统A检测到用户未登录自动跳转到统一认证中心2. 用户在认证中心输入账号密码认证中心校验账号密码合法性查询数据库3. 认证成功后认证中心生成一个全局唯一的令牌如JWT、Ticket并将令牌返回给前端禁用Cookie则通过URL/请求头传递4. 前端携带令牌跳回系统A系统A获取令牌调用认证中心的“令牌验证接口”验证令牌合法性5. 令牌验证通过系统A允许用户访问资源用户无需再次登录6. 用户访问系统B时系统B检测到用户未登录跳转到认证中心7. 认证中心检测到用户已持有合法令牌无需再次输入账号密码直接生成系统B的授权信息跳回系统B8. 系统B验证令牌合法性后允许用户访问资源实现“一次登录多系统访问”。面试补充核心关键点认证中心是唯一的登录入口负责令牌的生成和验证多系统之间相互信任无需单独认证只需验证令牌即可。十五、SSO如何实现面试标准回答SSO的实现核心是“搭建统一认证中心 各子系统集成认证中心”常用实现方式有3种其中JWT认证中心是目前最主流的无状态实现方式方式一JWT 统一认证中心推荐无状态适合分布式搭建统一认证中心负责用户认证、JWT令牌生成、令牌验证接口开发子系统集成各子系统拦截未登录请求跳转到认证中心登录成功后子系统从URL/请求头获取JWT令牌调用认证中心接口验证令牌验证通过则允许访问优势无状态无需存储会话减轻服务器压力适配分布式项目缺点令牌无法主动吊销需配合刷新令牌机制。方式二CAS框架实现有状态企业级常用CASCentral Authentication Service是一款开源的SSO框架自带认证中心支持Ticket令牌机制实现步骤部署CAS Server认证中心各子系统CAS Client集成CAS配置信任关系用户登录CAS Server后获取Ticket子系统通过Ticket向CAS Server验证验证通过则允许访问优势功能完善支持令牌吊销、单点登出安全性高缺点有状态需存储会话部署和配置较复杂。方式三基于Session共享传统方式不推荐搭建统一认证中心用户登录后将用户信息存储在分布式缓存如Redis中生成会话ID各子系统通过会话ID从Redis中获取用户信息实现会话共享缺点有状态依赖分布式缓存扩展性差不如JWT方式灵活。十六、什么是CAS面试标准回答CASCentral Authentication Service中央认证服务是一款开源的企业级单点登录框架由耶鲁大学开发核心作用是实现多系统的统一认证遵循SSO协议是目前企业级SSO项目中常用的框架之一。CAS的核心特点基于“票据Ticket”机制分为CAS Server认证中心和CAS Client子系统客户端两部分各子系统无需单独实现认证逻辑只需集成CAS Client通过CAS Server完成统一认证支持单点登录、单点登出、令牌吊销、多用户角色管理等功能安全性高、功能完善。面试补充CAS的核心优势成熟稳定适配复杂的企业级场景如多系统、多角色、高并发缺点部署和配置较复杂学习成本高于JWT方式。十七、CAS中3个术语?面试标准回答CAS的核心术语有3个分别对应CAS的核心组件和流程是理解CAS工作原理的关键CAS Server认证服务器CAS的核心即统一认证中心负责用户身份认证、生成票据Ticket、验证票据合法性是唯一的登录入口管理所有用户的认证信息。CAS Client客户端集成在各个子系统中的客户端组件负责拦截子系统的未登录请求跳转到CAS Server同时接收CAS Server返回的票据向CAS Server验证票据获取用户信息完成子系统的登录。Ticket票据CAS中的“全局令牌”由CAS Server生成用于证明用户已认证成功。分为两种核心票据TGTTicket Granting Ticket长期票据用户登录CAS Server成功后生成存储在CAS Server的会话中用于生成STSTService Ticket短期票据用户访问子系统时CAS Server根据TGT生成ST子系统用ST向CAS Server验证验证通过后ST失效。十八、CAS处理流程?面试标准回答CAS的处理流程核心是“TGTST票据机制”分为“登录流程”和“验证流程”具体步骤以用户访问子系统A为例一、登录流程获取TGT1. 用户访问子系统ACAS Client拦截请求检测到用户未登录自动跳转到CAS Server的登录页面2. 用户在CAS Server输入账号密码CAS Server校验账号密码合法性查询数据库3. 认证成功后CAS Server生成TGT长期票据存储在自身会话中通常存在Redis中同时生成一个临时的登录成功页面4. CAS Server通过登录成功页面自动向子系统A发起请求携带ST短期票据由TGT生成。二、验证流程验证ST1. 子系统A的CAS Client获取ST向CAS Server发起“票据验证请求”携带ST和子系统自身的地址2. CAS Server验证ST的合法性检查ST是否由自身生成、是否过期、是否对应正确的子系统3. 验证通过后CAS Server返回用户的身份信息如用户名、角色给子系统A的CAS Client4. 子系统A根据用户信息创建本地会话允许用户访问资源登录完成5. 当用户访问子系统B时重复步骤1-4但CAS Server检测到用户已持有TGT无需再次输入账号密码直接生成ST完成验证。面试补充单点登出流程用户在任意一个子系统登出子系统通知CAS ServerCAS Server销毁TGT同时通知所有已登录的子系统销毁本地会话实现“一次登出所有系统都登出”。十九、什么是Token?面试标准回答Token令牌是一种身份验证凭证由服务器生成返回给客户端客户端后续发起请求时携带Token服务器通过验证Token的合法性确认用户身份无需存储会话信息无状态。Token的核心特点无状态服务器无需存储Token相关信息只需验证Token的签名和有效性减轻服务器压力适合分布式项目唯一性每个Token都是全局唯一的避免伪造时效性Token会设置过期时间过期后需重新获取提升安全性携带信息Token中可携带少量用户信息如用户名、角色减少数据库查询。常用场景接口认证、单点登录SSO、移动端APP登录常用的Token类型有JWT、OAuth2.0中的Access Token。二十、OAuth是什么面试标准回答OAuthOpen Authorization开放授权是一种开放的授权协议核心作用是“允许第三方应用在不获取用户账号密码的情况下访问用户在某一系统中的授权资源”解决第三方应用的授权问题避免用户密码泄露。简单来说比如用微信登录某款小游戏小游戏无需获取你的微信账号密码只需通过微信的OAuth授权获取你的微信昵称、头像等基础信息即可完成登录这就是OAuth的核心场景。目前最常用的是OAuth 2.0版本OAuth 1.0已淘汰核心角色有4个资源所有者用户、客户端第三方应用、授权服务器如微信授权服务器、资源服务器如微信的用户信息服务器。面试补充OAuth 2.0的核心流程第三方应用客户端向授权服务器请求授权用户同意授权后授权服务器返回Token客户端用Token向资源服务器请求用户资源实现授权访问。二十一、介绍下Access Token ?面试标准回答Access Token访问令牌是OAuth 2.0协议中的核心令牌由授权服务器生成用于第三方应用客户端访问资源服务器的授权资源是客户端访问资源的“通行证”。核心特点和作用作用客户端携带Access Token向资源服务器请求资源资源服务器验证Token合法性后返回对应的资源如用户信息、接口数据时效性短期有效通常1-2小时过期后无法使用需重新获取目的是提升安全性即使Token泄露危害范围也有限无状态资源服务器无需存储Token信息只需验证Token的签名和有效期即可确认授权合法性权限范围Access Token会绑定具体的权限范围如只能获取用户昵称、头像不能获取用户手机号客户端只能访问授权范围内的资源。面试补充Access Token的获取方式OAuth 2.0提供4种授权模式授权码模式、密码模式、客户端凭证模式、简化模式其中授权码模式最常用通过授权码获取Access Token。二十二、介绍下Refresh Token?面试标准回答Refresh Token刷新令牌是OAuth 2.0协议中配合Access Token使用的长期令牌核心作用是“在Access Token过期后无需用户重新授权即可获取新的Access Token”提升用户体验。核心特点和使用流程特点长期有效通常7天、30天安全性高存储在客户端如后端服务不暴露在前端避免泄露使用流程1. 客户端通过授权模式同时获取Access Token短期和Refresh Token长期2. 当Access Token过期后客户端携带Refresh Token向授权服务器发起“刷新Token请求”3. 授权服务器验证Refresh Token的合法性验证通过后生成新的Access Token同时可生成新的Refresh Token返回给客户端4. 客户端用新的Access Token继续访问资源服务器无需用户重新登录授权。核心优势避免用户因Access Token过期频繁重新授权提升用户体验同时Refresh Token长期有效可减少授权流程的重复执行。面试补充安全注意Refresh Token需存储在客户端的后端服务中不能存储在前端如LocalStorage避免泄露若Refresh Token泄露攻击者可无限获取Access Token需及时吊销Refresh Token。二十三、介绍下JWT面试标准回答JWTJSON Web Token是一种基于JSON的无状态令牌用于在客户端和服务器之间传递身份信息和权限信息核心特点是“自包含”Token中包含所有必要的用户信息无需服务器存储会话适合分布式项目和无状态认证。1. JWT的结构3部分用“.”分隔均为Base64编码Header头部指定JWT的签名算法如HS256、RS256和令牌类型默认JWT示例{alg:HS256,typ:JWT}Payload载荷存储用户的核心信息如用户名、角色、过期时间分为标准声明和自定义声明标准声明如exp过期时间、iss签发者自定义声明如userId用户IDSignature签名用Header中指定的算法对Header和Payload进行签名防止Token被篡改签名需要密钥对称加密用密钥非对称加密用私钥。2. 核心特点无状态服务器无需存储Token信息只需验证签名和过期时间即可确认合法性自包含Token中携带用户信息减少数据库查询提升接口响应速度跨语言基于JSON支持所有语言Java、Python、JavaScript等适配多端Web、APP不可篡改签名机制确保Token被篡改后验证会失败。3. 常用场景接口认证、单点登录SSO、分布式项目的无状态认证。面试补充缺点Token一旦签发无法主动吊销需通过设置短期过期时间刷新Token机制弥补Payload部分是Base64编码可逆不能存储敏感信息如密码。