1. 问题背景与现象分析最近在部署Apache Zeppelin数据可视化平台时遇到了一个棘手的问题配置了基于JdbcRealm的角色查询与鉴权功能后系统始终无法正确识别用户角色和权限。具体表现为用户登录成功后所有页面都能访问没有按角色区分权限在Notebook页面所有用户都能执行所有操作创建、删除、运行等日志中能看到用户认证成功的记录但完全没有角色查询相关的日志输出这个问题在社区中其实并不少见很多开发者都遇到过类似的困惑。经过深入排查我发现这实际上与Zeppelin对Apache Shiro的JdbcRealm实现方式有关。2. 技术原理深度解析2.1 Zeppelin的鉴权架构Zeppelin使用Apache Shiro作为安全框架其鉴权流程主要分为三个层次认证(Authentication)验证用户身份通常是用户名密码授权(Authorization)检查用户是否有权限执行特定操作角色映射(Role Mapping)将用户与角色关联起来在Shiro中这些功能通常通过Realm实现。Zeppelin默认提供了多种Realm实现包括IniRealm基于配置文件LdapRealm基于LDAPJdbcRealm基于数据库2.2 JdbcRealm的工作原理标准的Shiro JdbcRealm通过以下SQL查询实现角色和权限的获取-- 用户认证查询 SELECT password FROM users WHERE username ? -- 用户角色查询 SELECT role_name FROM user_roles WHERE username ? -- 角色权限查询 SELECT permission FROM roles_permissions WHERE role_name ?但在Zeppelin的实现中我们发现它只重写了doGetAuthenticationInfo()方法用于认证而没有完整实现doGetAuthorizationInfo()方法用于授权。2.3 问题根源定位通过分析Zeppelin源码特别是org.apache.zeppelin.realm.jdbc.JDBCRealm类发现以下关键点Zeppelin的JdbcRealm继承自Shiro的JdbcRealm但只实现了认证部分角色查询相关的SQL配置虽然可以设置但实际上不会被使用授权信息始终返回空导致所有认证通过的用户都拥有全部权限3. 解决方案实现3.1 自定义Realm实现要解决这个问题我们需要创建一个自定义的JdbcRealm完整实现认证和授权功能。以下是具体步骤创建自定义Realm类package com.example.zeppelin.realm; import org.apache.shiro.realm.jdbc.JdbcRealm; import org.apache.shiro.authz.AuthorizationInfo; import org.apache.shiro.authz.SimpleAuthorizationInfo; import org.apache.shiro.subject.PrincipalCollection; public class CustomJdbcRealm extends JdbcRealm { Override protected AuthorizationInfo doGetAuthorizationInfo(PrincipalCollection principals) { // 获取用户名 String username (String) principals.getPrimaryPrincipal(); // 查询用户角色 SetString roles getJdbcTemplate().queryForSet( getUserRolesQuery(), new String[] { username }, String.class); // 查询角色权限 SetString permissions new HashSet(); for (String role : roles) { SetString rolePerms getJdbcTemplate().queryForSet( getPermissionsQuery(), new String[] { role }, String.class); permissions.addAll(rolePerms); } SimpleAuthorizationInfo info new SimpleAuthorizationInfo(roles); info.setStringPermissions(permissions); return info; } }3.2 配置自定义Realm在conf/shiro.ini配置文件中进行如下修改[main] # 使用自定义Realm customRealm com.example.zeppelin.realm.CustomJdbcRealm # 配置数据源 customRealm.dataSource org.apache.commons.dbcp2.BasicDataSource customRealm.dataSource.driverClassName com.mysql.jdbc.Driver customRealm.dataSource.url jdbc:mysql://localhost:3306/zeppelin_auth customRealm.dataSource.username dbuser customRealm.dataSource.password dbpass # 配置SQL查询 customRealm.authenticationQuery SELECT password FROM users WHERE username ? customRealm.userRolesQuery SELECT role_name FROM user_roles WHERE username ? customRealm.permissionsQuery SELECT permission FROM role_permissions WHERE role_name ? # 启用凭证匹配器 credentialsMatcher org.apache.shiro.authc.credential.Sha256CredentialsMatcher customRealm.credentialsMatcher $credentialsMatcher # 注册Realm securityManager.realms $customRealm3.3 数据库表结构设计确保数据库中有以下表结构CREATE TABLE users ( username VARCHAR(100) PRIMARY KEY, password VARCHAR(100) NOT NULL, salt VARCHAR(100) ); CREATE TABLE user_roles ( username VARCHAR(100), role_name VARCHAR(100), PRIMARY KEY (username, role_name) ); CREATE TABLE role_permissions ( role_name VARCHAR(100), permission VARCHAR(100), PRIMARY KEY (role_name, permission) );4. 部署与测试4.1 部署步骤将自定义Realm类编译打包放入zeppelin/lib目录修改conf/shiro.ini配置文件重启Zeppelin服务4.2 测试验证基础功能测试使用不同角色的用户登录验证是否能正确识别角色检查Notebook页面的操作权限是否按角色区分日志检查在conf/log4j.properties中增加日志级别log4j.logger.org.apache.zeppelin.realmDEBUG log4j.logger.org.apache.shiroDEBUG确认日志中能看到角色查询和权限检查的记录压力测试模拟多用户并发访问验证系统稳定性检查数据库连接池是否正常工作5. 常见问题与解决方案5.1 角色查询不生效现象用户能登录但获取不到任何角色信息排查步骤检查userRolesQuery配置是否正确确认数据库中有相应用户的角色记录检查SQL查询是否有语法错误解决方案// 在自定义Realm中添加调试日志 logger.debug(Executing roles query: getUserRolesQuery()); logger.debug(With parameters: username);5.2 权限检查不生效现象角色能正确识别但权限不起作用排查步骤检查permissionsQuery配置确认角色权限表中存在相应记录验证权限字符串格式是否正确如notebook:create解决方案# 在shiro.ini中启用权限检查 [urls] /notebook/** authc, perms[notebook:edit]5.3 性能问题现象系统响应变慢特别是登录时优化方案添加缓存支持// 在自定义Realm中配置缓存 Autowired private CacheManager cacheManager; public void setCacheManager(CacheManager cacheManager) { this.cacheManager cacheManager; super.setCacheManager(cacheManager); }优化SQL查询添加适当索引CREATE INDEX idx_user_roles ON user_roles(username); CREATE INDEX idx_role_perms ON role_permissions(role_name);6. 高级配置与优化6.1 密码加密配置建议使用更安全的密码加密方式[main] # 使用PBKDF2加密 credentialsMatcher org.apache.shiro.authc.credential.Pbkdf2CredentialsMatcher credentialsMatcher.algorithmName PBKDF2WithHmacSHA256 credentialsMatcher.iterations 100000 customRealm.credentialsMatcher $credentialsMatcher6.2 多Realm支持如果需要集成多种认证方式可以配置多个Realm[main] ldapRealm org.apache.zeppelin.realm.ldap.LdapRealm jdbcRealm com.example.zeppelin.realm.CustomJdbcRealm # 配置认证策略 authcStrategy org.apache.shiro.authc.pam.FirstSuccessfulStrategy securityManager.authenticator.authenticationStrategy $authcStrategy # 注册多个Realm securityManager.realms $ldapRealm, $jdbcRealm6.3 动态权限更新实现权限的实时更新// 在自定义Realm中添加清除缓存的方法 public void clearCachedAuthorizationInfo(String username) { SimplePrincipalCollection principals new SimplePrincipalCollection(username, getName()); super.clearCachedAuthorizationInfo(principals); }7. 安全最佳实践最小权限原则为每个角色分配最小必需的权限示例权限设计notebook:read notebook:write notebook:delete interpreter:restart定期审计记录关键操作日志定期检查权限分配情况防御措施防止SQL注入使用PreparedStatement防止暴力破解实现登录尝试限制// 登录尝试限制示例 public class RetryLimitRealm extends CustomJdbcRealm { private CacheString, AtomicInteger passwordRetryCache; public void setPasswordRetryCache(CacheString, AtomicInteger passwordRetryCache) { this.passwordRetryCache passwordRetryCache; } Override protected AuthenticationInfo doGetAuthenticationInfo(AuthenticationToken token) { String username (String) token.getPrincipal(); AtomicInteger retryCount passwordRetryCache.get(username); if (retryCount ! null retryCount.get() 5) { throw new ExcessiveAttemptsException(); } // 其余认证逻辑... } }在实际项目中我发现权限系统的设计往往需要根据业务需求不断调整。建议在初期就建立完善的权限模型同时保留足够的灵活性以适应未来的变化。另外一定要做好充分的测试特别是边缘情况的测试比如用户同时属于多个角色时的权限合并逻辑或者权限字符串的通配符匹配等场景。