Shiro第四篇【Shiro与Spring整合、快速入门、Shiro过滤器、登陆认证】

港控/mmm° 2021-09-17 07:32 380阅读 0赞

# Spring与Shiro整合 #

## 导入jar包 ##

*  shiro-web的jar、
 *  shiro-spring的jar
 *  shiro-code的jar

![这里写图片描述][SouthEast]

## 快速入门 ##

shiro也通过filter进行拦截。**filter拦截后将操作权交给spring中配置的filterChain（过虑链儿）**

在web.xml中配置filter

<filter>
            <filter-name>shiroFilter</filter-name>
            <filter-class>org.springframework.web.filter.DelegatingFilterProxy</filter-class>
            
            <init-param>
                <param-name>targetFilterLifecycle</param-name>
                <param-value>true</param-value>
            </init-param>
            
            <init-param>
                <param-name>targetBeanName</param-name>
                <param-value>shiroFilter</param-value>
            </init-param>
        </filter>
        <filter-mapping>
            <filter-name>shiroFilter</filter-name>
            <url-pattern>/*</url-pattern>
        </filter-mapping>

在**applicationContext-shiro.xml 中配置web.xml中fitler对应spring容器中的bean**。

<bean id="shiroFilter" class="org.apache.shiro.spring.web.ShiroFilterFactoryBean">
            <property name="securityManager" ref="securityManager" />
            
            <property name="loginUrl" value="/login.action" />
            
            
            
            <property name="unauthorizedUrl" value="/refuse.jsp" />
            
            <property name="filters">
                <map>
                    
                    <entry key="authc" value-ref="formAuthenticationFilter" />
                </map>
            </property>
    
            
            <property name="filterChainDefinitions">
                <value>
                    
                    /** = anon
                </value>
            </property>
        </bean>

配置安全管理器

<bean id="securityManager" class="org.apache.shiro.web.mgt.DefaultWebSecurityManager">
            <property name="realm" ref="customRealm" /> 
    </bean>

配置reaml

<bean id="customRealm" class="cn.itcast.ssm.shiro.CustomRealm">
    </bean>

步骤：

*  在web.xml文件中配置shiro的过滤器
 *  在对应的Spring配置文件中配置与之对应的filterChain（过虑链儿）
 *  配置安全管理器，注入自定义的reaml
 *  配置自定义的reaml

--------------------

## 静态资源不拦截 ##

我们在spring配置过滤器链的时候，我们发现这么一行代码：

/** = anon

**anon其实就是shiro内置的一个过滤器**，上边的代码就代表着所有的匿名用户都可以访问

当然了，后边我们还需要配置其他的信息，**为了让页面能够正常显示，我们的静态资源一般是不需要被拦截的**。

于是我们可以这样配置：

/images/** = anon
        /js/** = anon
        /styles/** = anon

# 初识shiro过滤器 #

上面我们了解到了anno过滤器的，shiro还有其他的过滤器的..我们来看看

![这里写图片描述][SouthEast 1]

常用的过滤器有下面几种：

anon:例子`/admins/**=anon` 没有参数，表示可以匿名使用。  
authc:例如`/admins/user/**`=authc表示需要认证(登录)才能使用，FormAuthenticationFilter是表单认证，没有参数  
perms：例子`/admins/user/**=perms[user:add:*]`,参数可以写多个，多个时必须加上引号，并且参数之间用逗号分割，例如`/admins/user/**=perms["user:add:*,user:modify:*"]`，当有多个参数时必须每个参数都通过才通过，想当于isPermitedAll()方法。  
user:例如`/admins/user/**`=user没有参数表示必须存在用户, 身份认证通过或通过记住我认证通过的可以访问，当登入操作时不做检查

# 登陆与退出 #

使用FormAuthenticationFilter过虑器实现 ，原理如下：

*  当用户没有认证时，**请求loginurl进行认证【上边我们已经配置了】，用户身份和用户密码提交数据到loginurl**
 *  FormAuthenticationFilter拦截住取出request中的username和password（**两个参数名称是可以配置的**）
 *  FormAuthenticationFilter\*\*调用realm传入一个token\*\*（username和password）
 *  **realm认证时根据username查询用户信息**（在Activeuser中存储，包括 userid、usercode、username、menus）。
 *  如果查询不到，realm返回null，FormAuthenticationFilter向request域中填充一个参数（记录了异常信息）

## 登陆页面 ##

由于FormAuthenticationFilter的用户身份和密码的**input的默认值（username和password）**，**修改页面的账号和密码的input的名称为username和password**

## 登陆代码实现 ##

上面我们已经说了，当用户没有认证的时候，**请求的loginurl进行认证，用户身份的用户密码提交数据到loginrul中**。

当我们提交到loginurl的时候，**表单过滤器会自动解析username和password去调用realm来进行认证。最终在request域对象中存储shiroLoginFailure认证信息，如果返回的是异常的信息，那么我们在login中抛出异常即可**

//登陆提交地址，和applicationContext-shiro.xml中配置的loginurl一致 @RequestMapping("login") public String login(HttpServletRequest request)throws Exception{ //如果登陆失败从request中获取认证异常信息，shiroLoginFailure就是shiro异常类的全限定名 String exceptionClassName = (String) request.getAttribute("shiroLoginFailure"); //根据shiro返回的异常类路径判断，抛出指定异常信息 if(exceptionClassName!=null){ if (UnknownAccountException.class.getName().equals(exceptionClassName)) { //最终会抛给异常处理器 throw new CustomException("账号不存在"); } else if (IncorrectCredentialsException.class.getName().equals( exceptionClassName)) { throw new CustomException("用户名/密码错误"); } else if("randomCodeError".equals(exceptionClassName)){ throw new CustomException("验证码错误 "); }else { throw new Exception();//最终在异常处理器生成未知错误 } } //此方法不处理登陆成功（认证成功），shiro认证成功会自动跳转到上一个请求路径 //登陆失败还到login页面 return "login"; }

配置认证过滤器

<value>
            
            /images/** = anon
            /js/** = anon
            /styles/** = anon
    
            
            /** = authc
        </value>

## 退出 ##

不用我们去实现退出，**只要去访问一个退出的url（该 url是可以不存在），由LogoutFilter拦截住，清除session。**

在applicationContext-shiro.xml配置LogoutFilter：

/logout.action = logout

--------------------

# 认证后信息在页面显示 #

1、认证后用户菜单在首页显示  
2、认证后用户的信息在页头显示

realm从数据库查询用户信息，**将用户菜单、usercode、username等设置在SimpleAuthenticationInfo中。**

//realm的认证方法，从数据库查询用户信息
        @Override
        protected AuthenticationInfo doGetAuthenticationInfo(
                AuthenticationToken token) throws AuthenticationException {
    
            // token是用户输入的用户名和密码 
            // 第一步从token中取出用户名
            String userCode = (String) token.getPrincipal();
    
            // 第二步：根据用户输入的userCode从数据库查询
            SysUser sysUser = null;
            try {
                sysUser = sysService.findSysUserByUserCode(userCode);
            } catch (Exception e1) {
                // TODO Auto-generated catch block
                e1.printStackTrace();
            }
    
            // 如果查询不到返回null
            if(sysUser==null){
        //
                return null;
            }
            // 从数据库查询到密码
            String password = sysUser.getPassword();
    
            //盐
            String salt = sysUser.getSalt();
    
            // 如果查询到返回认证信息AuthenticationInfo
    
            //activeUser就是用户身份信息
            ActiveUser activeUser = new ActiveUser();
    
            activeUser.setUserid(sysUser.getId());
            activeUser.setUsercode(sysUser.getUsercode());
            activeUser.setUsername(sysUser.getUsername());
            //..
    
            //根据用户id取出菜单
            List<SysPermission> menus  = null;
            try {
                //通过service取出菜单 
                menus = sysService.findMenuListByUserId(sysUser.getId());
            } catch (Exception e) {
                // TODO Auto-generated catch block
                e.printStackTrace();
            }
            //将用户菜单 设置到activeUser
            activeUser.setMenus(menus);
    
            //将activeUser设置simpleAuthenticationInfo
            SimpleAuthenticationInfo simpleAuthenticationInfo = new SimpleAuthenticationInfo(
                    activeUser, password,ByteSource.Util.bytes(salt), this.getName());
    
            return simpleAuthenticationInfo;
        }

配置凭配器，因为我们用到了md5和散列

<bean id="credentialsMatcher" class="org.apache.shiro.authc.credential.HashedCredentialsMatcher">
        <property name="hashAlgorithmName" value="md5" />
        <property name="hashIterations" value="1" />
    </bean>

<bean id="customRealm" class="cn.itcast.ssm.shiro.CustomRealm">
        
        <property name="credentialsMatcher" ref="credentialsMatcher"/>
    </bean>

在跳转到首页的时候，取出用户的认证信息，转发到JSP即可

//系统首页
        @RequestMapping("/first")
        public String first(Model model)throws Exception{
    
            //从shiro的session中取activeUser
            Subject subject = SecurityUtils.getSubject();
            //取身份信息
            ActiveUser activeUser = (ActiveUser) subject.getPrincipal();
            //通过model传到页面
            model.addAttribute("activeUser", activeUser);
    
            return "/first";
        }

[SouthEast]: /images/20210827/bcc58653ccd94207ac76ab32e3d3ab25.png
[SouthEast 1]: /images/20210827/7027089605464e099a385fe8e653594b.png