[Shiro教程] Shiro 教程基于SSM（SpringMVC + Spring + Mybatis）

我就是我 2024-02-18 20:38 63阅读 0赞

## 一、Shiro简介 ##

Apache Shiro 是[ Java ][Java]的一个安全框架。我们经常看到它被拿来和[ Spring ][Spring]的[ Security ][Security]来对比。大部分人认为[ Shiro ][Shiro]比[ Security ][Security]要简单。我的观点赞成一半一半吧。

首先[ Shiro ][Shiro]确实和[ Security ][Security]是同类型的框架，主要用来做安全，也就是我们俗称的权限校验（控制）。居多人对[ Shrio ][Shrio]的定义为好入门。

我选型为[ Shiro ][Shiro]，主要的原因扩展太easy了，而且我要的功能它都有。

## 二、概述    ##

前段时间出了一个基于SSM（SpringMVC + Spring + Mybatis）的Shiro 教程Demo，Cache（Nosql）是基于Ehcache的，但是很多同学卡在了Redis上，经常运行起来。所以现在出一版本基于 [Cache][] 为Ehcache版本的。这样减少新入门的同学的难度，不用依赖第三方中间件。

后续会陆陆续续添加N多相关的功能。以不同版本的方式发布。

基于Redis版本地址：[http://www.sojson.com/shiro][http_www.sojson.com_shiro]

## 三、需要你的赞助 ##

如果帮助到了您，请你在下载代码后，运行后，跑起来后，加群帮你解决问题后，兴奋、喜悦、愤怒、丧气、不知所措... ... 的时候，请赞助我，钱多少不重要，学生请不要赞助（富二代请忽略）。

赞助链接：[http://www.sojson.com/subsidize.html][http_www.sojson.com_subsidize.html]

## 四、请遵循三要素 ##

1.  建议你看完本篇文档所有内容，再进行运行项目。
2.  在没熟练之前，除了必要的配置修改，请勿改动任何配置和包路径。
3.  有疑问先看文档，交流加QQ群：`259217951`即可，群里没人理你@群主即可。

## 五、环境准备 ##

### 5.1 开发工具 ###

[Eclipse][] 、 [MyEclipes][] 、`Idea` 等 [Java][] 开发工具，推荐使用[MyEclipes8.5][]以上。因为这个项目是在[MyEclipes8.5][]和`MyEclipes10.7` 开发的。

如果使用Eclipse的同学，请安装好Maven环境，如果没有Maven环境，又不想安装，那么请在附件中下载依赖包，自己把项目转成Java Web项目然后进行运行。

如果使用`Idea` 作为开发工具的同学，注意配置`resources` ，还有一些其他的配置需要自己处理，不像导入 [MyEclipes][] 直接能跑起来。

### 5.2 依赖第三方 ###

因为是基于 [Ehcache][] ，所以也没有其他第三方。

主要就是一个 [Mysql][] 数据库。数据库的版本为 `Mysql5.6` ，估计`Mysql5.5` ，`Mysql5.6` 都没问题，`Mysql5.7` 有小小问题，因为一些默认配置导致有些语法可能不支持，这个慎用。

下面有最新，我测试可用的`Mysql` 安装教程：[Mysql5.6下载安装，Mysql5.7下载安装 ，Windows64位，绿色安装（解压缩安装）图文安装教程][Mysql5.6_Mysql5.7_ _Windows64] 。

如果安装出现`Mysql` 权限问题：[ERROR 1045 (28000): Access denied for user 'root'@'localhost' (using password: YES) 解决。][ERROR 1045 _28000_ Access denied for user _root_localhost_ _using password_ YES_]

## 六、环境配置及要求，JDK版本，初始化配置    ##

### 6.1 JDK版本要求 ###

[JDK][] 版本要求为`JDK1.7+` ，我开发的版本是`1.7.0_80` ，`JDK1.6` 有些`jar` 包会报错，推荐使用`JDK1.7` 以上。

如果出现以下类似错误，那就是JDK版本不相符。

1.  `Unsupported major.minor version 51.0`

`其中各个版本对应的提示如下：`

1.  `JDK1.5 对应为Unsupported major.minor version 49.0`
2.  `JDK1.6 对应为Unsupported major.minor version 50.0`
3.  `JDK1.7 对应为Unsupported major.minor version 51.0`
4.  `JDK1.8 对应为Unsupported major.minor version 52.0`

### 6.2 初始化配置    ###

#### 6.2.1 Mysql数据库初始化    ####

本教程不支持自动创建表和插入数据，在项目的`init/sql` 下有三个sql 文件，分别为：`tables.sql` （插入表）、`init.data.sql` （插入初始化数据）、`init_shiro_demo.sql` （插入初始化存储过程）。

执行的过程为： `tables.sql` （插入表）===> `init.data.sql` （插入初始化数据）就可以了。

存储过程可以是定时任务 `com.sojson.common.timer.ToTimer` 中定时任务调用的存储过程。每20分钟一次。想看看效果的同学，可以把`spring.xml` 配置文件中的`spring-timer.xml` 注释打开就可以。

数据库配置：`jdbc.properties` 配置你的数据库链接。

1.  `jdbc.url=jdbc:mysql://localhost:3306/shiro.demo`
2.  `jdbc.username=root`
3.  `jdbc.password=123456`

`具体 druid 配置：Druid数据库配置详细介绍 。`

`其他配置默认的即可，先跑起来，跑起来没问题后，看看配置文件，有问题和疑问在群里交流。`

`PS：如果你确实要用Mysql5.7，那么在Mysql的安装目录下找到。my.ini 或者my_default.ini 里面配置sql_mode=NO_ENGINE_SUBSTITUTION,STRICT_TRANS_TABLES 即可。`

### `6.3 Maven环境说明` ###

`本教程是用 Maven 管理Jar包及运行打包，如果你发现 Maven 一直在下载jar 包，时间过久的话，建议你换成阿里的数据源。打开你的 Maven 目录的setting.xml 文件，如果没有直接添加即可，官方群里有setting.xml 文件作为参考。`

`主要改个本地Maven 目录，改成你自己的目录即可：`

1.  `<localRepository>E:\maven\repository</localRepository>`

再配置一个mirror，找到标签为mirrors，然后在里面添加或者修改为阿里的Maven库，如下图：

1.  `<mirrors>`
2.  `<mirror>`
3.  `<id>alimaven</id>`
4.  `<name>aliyun maven</name>`
5.  `<url>http://maven.aliyun.com/nexus/content/groups/public/</url>`
6.  `<mirrorOf>central</mirrorOf>`
7.  `</mirror>`
8.  `</mirrors>`

`Maven的Mirror和Repository 的详细讲解 ，可以详细了解下。`

`异常解决`

`常见的异常有3种。`

1.  `如果有部分包打红× ，可以删除这个包路径，再次项目右键 Maven选项（每个工具不一样） ==> Update Maven Dependencies 更新即可。`
2.  `如果下载好Jar 包，也不报错，但是在运行项目的时候，报错zip 相关异常，那么删除Maven 目录下所有下好的jar 包，然后再来下载一次。因为是下载的包是损坏的。`
3.  `还有 Maven 的 JDK 版本需要和你项目一致，有的工具默认配置是JDK1.5 。`

### `6.4 其他说明` ###

`编码格式：UTF-8 ，换成其他编码格式可能会有瑕疵。`

`Spring相关Jar版本为：Spring 4.2.5`

`前端页面采用：Bootstarp 3.2 。`

`其他依赖：jQuery1.8.3 、layer 控件。`

### `6.5 View层说明` ###

`http://www.sojson.com/shiro 之前的Shiro Demo 是 JSP 和 Freemarker 混合模版，从这个Shiro Demo开始，我只用 Freemarker ，后期也会出 Freemarker 视频教程。当然为了习惯（只会）JSP的同学，我也双模版配置不修改，您想改成JSP可以直接支持，JSP是以WEB-INF下的view目录为根目录。`

## `七、教程功能详细说明` ##

`下面各点是针对（SSM）SpringMvc + Spring + Mybatis框架说明，以及一些使用方式和基本功能介绍。`

### `7.1.1 框架基本介绍` ###

`本教程是SSM（ SpringMVC +Spring + Mybatis + Freemarker ） + Ehcache 做的整体Shiro Demo ，其他框架需要自己自行解决，所以不做框架 其他 的讲解，其实是大同小异。`

### `7.1.2 分页介绍` ###

`本框架里的分页比较Low，分页的ServiceImpl 要继承 BaseMybatisDao<T> ，这里泛型的<T> 为当前实体对象对应的Mapper.xml 文件，其实就是Mapper.xml 的namespace 。调用父类的findPage 相关。`

`Service Impl Java 代码：`

1.  `public Pagination<UserRoleAllocationBo> findUserAndRole(ModelMap modelMap,`
2.  `Integer pageNo, Integer pageSize) {`
3.  `//findUserAndRole ： 为查询数据（sqlID）`
4.  `//findCount ： 为查询符合数据的总条数（sqlID）`
5.  `return super.findPage("findUserAndRole", "findCount", modelMap, pageNo, pageSize);`
6.  `}`

分页查询使用缺省的`sqlId` 。

1.  `public Pagination<UPermission> findPage(Map<String,Object> resultMap, Integer pageNo,`
2.  `Integer pageSize) {`
3.  `/**`
4.  `* 调用父类的分页查询，默认数据查询sqlId = findAll ， count 查询sqlId = findCount`
5.  `*/`
6.  `return super.findPage(resultMap, pageNo, pageSize);`
7.  `}`

`Mapper.xml 文件 Sql 代码，和上面一 一对应：`

1.  `<select id="findCount" resultMap="BaseResultMap" >`
2.  `select count(id) from u_user`
3.  `<include refid="where_all" />`
4.  `</select>`
5.  ``
6.  ``
7.  `<select id="findUserAndRole" resultType="com.sojson.permission.bo.UserRoleAllocationBo">`
8.  `select u.id,u.nickname,u.email,u.create_time,u.last_login_time,u.status ,group_concat(ur.name) roleNames,group_concat(ur.id)roleIds from`
9.  `u_user u`
10. `left join u_user_role uur on uur.uid = u.id`
11. `left join u_role ur on ur.id = uur.rid`
12. `<where>`
13. `<if test="findContent != null and findContent !='' " >`
14. `and (`
15. `LOWER(u.nickname) like LOWER(CONCAT("%",#{findContent,jdbcType=VARCHAR},"%")) or`
16. `LOWER(u.email) like LOWER(CONCAT("%",#{findContent,jdbcType=VARCHAR},"%"))`
17. `)`
18. `</if>`
19. `</where>`
20. `group by u.id`
21. `</select>`

1.  `<select id="findAll" resultMap="BaseResultMap" >`
2.  `select`
3.  `<include refid="Base_Column_List" />`
4.  `from u_permission`
5.  `<include refid="where_all"/>`
6.  `<include refid="limit_sql" />`
7.  `</select>`
8.  `<select id="findCount" resultMap="BaseResultMap" >`
9.  `select count(id) from u_permission`
10. `<include refid="where_all" />`
11. `</select>`

`具体请结合代码，Debug 断点看看。`

`前端HTML页面输出：`

1.  `<#if page?exists>`
2.  `<div class="pagination pull-right">`
3.  `${page.pageHtml}`
4.  `</div>`
5.  `</#if>`

Java 分页处理代码：

1.  `public String getPageHtml(){`
2.  `Map<String,Object> map = new HashMap<String,Object>();`
3.  `map.put("pageNo", this.getPageNo());`
4.  `map.put("totalPage", this.getTotalPage());`
5.  `//从Freemarker 获取分页html`
6.  `return new Freemarker().getTemplate("common/page/html_page.ftl", map);`
7.  `}`

`具体分页输出，请看项目中的Freemarker.getTemplate(...) 方法，上个项目是直接拼串输出，这次这里作为一个Demo 处理了下，采用Freemarker 模版输出。`

### `7.1.3 基本结构，以及事务控制` ###

`Controller ==> Service (事务控制层) ==> Dao ==> SqlMapper ==> Mysql 数据库。`

`对于事务AOP 配置和之前的版本是一致的。事务配置在spring-mybatis.xml 配置文件中。`

1.  `<tx:advice id="txAdvice" transaction-manager="transactionManager">`
2.  `<tx:attributes>`
3.  `<tx:method name="publish*" />`
4.  `<tx:method name="save*" />`
5.  `<tx:method name="add*" />`
6.  `<tx:method name="update*" />`
7.  `<tx:method name="insert*" />`
8.  `<tx:method name="create*" />`
9.  `<tx:method name="del*" />`
10. `<tx:method name="load*" />`
11. `<tx:method name="init*" />`
12. `<tx:method name="*" read-only="true"/>`
13. `</tx:attributes>`
14. `</tx:advice>`
15. ``
16. `<aop:config>`
17. `<aop:pointcut id="myPointcut"`
18. `expression="execution(public * com.sojson.*.service.impl.*.*(..))" />`
19. `<aop:advisor advice-ref="txAdvice" pointcut-ref="myPointcut" />`
20. `</aop:config>`

事务控制层在`ServiceImpl` 层。`public * com.sojson.*.service.impl.*.*(..)` 的意思是， `com.sojson.*.service.impl` 下所有类的所有方法，而且方法参数不限。符合这些条件的加入事务。

事务的规则是通过方法名前缀来定义的。上面定义了常用的`publish` 、`save` 、`add` ....诸如此类，是走默认事务级别。匹配不中的走readOnly。

所以此处事务配置要注意，如果你修改包路径，这里也要修改，并且要符合规则，要不然会出现找不到数据库的Connection而报错。并且会造成事务无效。

### 7.1.4 View层Freemarker 配置 ###

View层配置为通用配置，支持 [Freemarker][] 和 [JSP][] 配置，具体配置参考 [SpringMvc][] 配置`spring-mvc.xml` 。

1.  ``
2.  `<bean id="viewResolverCommon"`
3.  `class="org.springframework.web.servlet.view.InternalResourceViewResolver">`
4.  `<property name="prefix" value="/WEB-INF/views/" />`
5.  `<property name="suffix" value=".jsp" />`
6.  ``
7.  `<property name="viewClass">`
8.  `<value>org.springframework.web.servlet.view.InternalResourceView`
9.  `</value>`
10. `</property>`
11. `<property name="order" value="1" />`
12. `</bean>`
13. ``
14. ``
15. ``
16. `<bean id="viewResolverFtl"`
17. `class="org.springframework.web.servlet.view.freemarker.FreeMarkerViewResolver">`
18. `<property name="viewClass" value="com.sojson.core.freemarker.extend.FreeMarkerViewExtend" />`
19. ``
20. `<property name="contentType" value="text/html; charset=utf-8" />`
21. `<property name="cache" value="true" />`
22. `<property name="suffix" value=".ftl" />`
23. `<property name="order" value="0" />`
24. `</bean>`
25. `<bean id="viewResolver"`
26. `class="org.springframework.web.servlet.view.InternalResourceViewResolver">`
27. `<property name="order" value="2"></property>`
28. `<property name="viewClass"`
29. `value="org.springframework.web.servlet.view.JstlView" />`
30. `<property name="prefix" value="/WEB-INF/views/" />`
31. `<property name="suffix" value=".jsp"></property>`
32. `</bean>`
33. ``
34. ``
35. `<bean id="freemarkerConfig"`
36. `class="com.sojson.core.freemarker.extend.FreeMarkerConfigExtend">`
37. `<property name="templateLoaderPath">`
38. `<value>/WEB-INF/ftl/</value>`
39. `</property>`
40. `<property name="freemarkerVariables">`
41. `<map>`
42. `<entry key="xml_escape" value-ref="fmXmlEscape" />`
43. `<entry key="api" value-ref="api"/>`
44. `</map>`
45. `</property>`
46. `<property name="defaultEncoding">`
47. `<value>utf-8</value>`
48. `</property>`
49. `<property name="freemarkerSettings">`
50. `<props>`
51. `<prop key="template_update_delay">0</prop>`
52. `<prop key="defaultEncoding">UTF-8</prop>`
53. `<prop key="url_escaping_charset">UTF-8</prop>`
54. `<prop key="locale">zh_CN</prop>`
55. `<prop key="boolean_format">true,false</prop>`
56. `<prop key="datetime_format">yyyy-MM-dd HH:mm:ss</prop>`
57. `<prop key="date_format">yyyy-MM-dd</prop>`
58. `<prop key="time_format">HH:mm:ss</prop>`
59. ``
60. `<prop key="number_format">#</prop>`
61. `<prop key="whitespace_stripping">true</prop>`
62. `<prop key="auto_import">`
63. ``
64. `/common/config/top.ftl as _top,`
65. `/common/config/left.ftl as _left,`
66. `/common/config/menu.ftl as _menu`
67. `</prop>`
68. `</props>`
69. `</property>`
70. `</bean>`
71. `<bean id="fmXmlEscape" class="freemarker.template.utility.XmlEscape"/>`

### `7.1.5 Freemarker API标签封装` ###

`采用 Freemarker 的自定义标签功能封装得到使用起来更为简单的方式，下面来一下实列代码。这样的优点，它不是 HTTP 、 TCP 之类的请求，它是Freemarker 在后台组装的时候调用方法而已。这样有利于业务模块抽取和区分。`

`在spring-mvc.xml 里有如下自动扫描tag 标签类代码：`

1.  ``
2.  `<context:component-scan base-package="com.sojson.*.*.tag;com.sojson.*.tag" />`
3.  ``
4.  `<bean name="api" class="com.sojson.core.tags.APITemplateModel"></bean>`

[Java][] 后台代码：

1.  `/**`
2.  `* 测试封装的 Freemarker 标签代码 。`
3.  `*/`
4.  `@Component`
5.  `public class UserInfoTag extends SuperCustomTag {`
6.  `//支持注入`
7.  `@Autowired`
8.  `UUserService userService;`
9.  `/**`
10. `* 继承父类的方法，必须实现，返回类型为Object，方便使用，这样就可以返回Map、List、以及自己的JavaBean`
11. `*/`
12. `@Override`
13. `protected Object result(Map params) {`
14. `Long userId = getLong(params, "userId");//从页面取得userId`
15. `return userService.selectByPrimaryKey(userId);`
16. `}`
17. `}`

`Freemarker 前端使用：`

1.  `<#--`
2.  `参数说明：`
3.  `target：目标tag类，就是上述Java代码中的 com.sojson.user.tag.UserInfoTag 类名首字母小写得到的Tag。`
4.  `userId：自定义，这样可以定义多个，后台直接从Map获取即可。你可以 a="1",b="2",c="true",诸如此类。`
5.  `返回值：{outTagName:你的返回值}`
6.  `-->`
7.  `<@api target="userInfoTag" userId="1">`
8.  `<#--`
9.  `后台返回值接收的Key为：outTagName`
10. `Key名称修改的话在 com.sojson.core.statics.Constant.OUT_TAG_NAME`
11. `-->`
12. `<#if outTagName?exists>`
13. `nickname：${outTagName.nickname}`
14. `email：${outTagName.email}`
15. `最后登录时间：${outTagName.lastLoginTime?string('yyyy-MM-dd HH:mm:ss')}`
16. `</#if>`
17. `</@api>`

### 7.1.6 多种验证码集成 ###

当我们在注册的时候，需要输入验证码，现在默认配置的动态（`gif` ）格式验证码。`Shiro Demo` 的注册页面即可查看。

![yzm01.png][]

项目中`package：com.sojson.common.utils.vcode` 包是验证码的封装包。

并且提供了一个`VerifyCodeUtils.java` 的验证码工具类。

使用方法参见：`CommonController.java` 类中的`getVCode()` 方法和`getGifCode()` 方法。

![4836791025.png][]![6543180972.gif][]

[Java生成验证码合集（一）简单版 ][Java_]。

[Java生成验证码合集（二）GJF版 ][Java_GJF_]。

## 八、Shiro Demo中Shro功能相关详细说明    ##

### 8.1 Shiro + Ehcache 集成 ###

上一个ShiroDemo 采用的Redis，篇前也说了，部分同学对Redis还是比较陌生，所以才有这一版本的出现。

首先Ehcache采用的是2.5版本。Maven引入jar。

1.  ``
2.  `<dependency>`
3.  `<artifactId>ehcache-core</artifactId>`
4.  `<groupId>net.sf.ehcache</groupId>`
5.  `<version>2.5.0</version>`
6.  `</dependency>`
7.  `<dependency>`
8.  `<groupId>org.apache.shiro</groupId>`
9.  `<artifactId>shiro-ehcache</artifactId>`
10. `<version>1.2.2</version>`
11. `</dependency>`
12. ``

`Shiro-ehcache ，其实我偏向自己实现比较好管理。 Ehcache 配置文件在resources 目录下发现有2 个Ehcache 相关的config 文件。及ehcache-config.xml（本项目中的Vcache所使用）和ehcache-shiro.xml （Shiro Auth相关权限，User Info使用）。`

`如果你仔细看发现Vcache 缓存工具类，使用的是 Ehcache 的路线，而 Shiro 使用的是Shiro-ehcache 路线，而他们又是同一种缓存，在结合的时候，我碰了几次墙。主要是 cache 的name 不能一样或是没有。`

### `8.2 Shiro 系统级别权限初始加载` ###

`为了更详细的介绍，我写了一篇专门介绍这个权限配置加载的相关问题==> Shiro教程，Shiro 配置文件详细解释，Shiro自定义Filter配置，建议现行看完。`

`Shiro 权限配置一般使用的有两种，一种是采用注解的方式，在我们的 Controller 方法上，或者Action 方法上写入一些权限判断注解，具体怎么使用，我不做介绍，我主要推荐使用配置的方式。这也是我们现在要讲到的配置方式加载系统基础权限控制，采用对Url 进行控制。`

1.  `<bean id="shiroFilter" class="org.apache.shiro.spring.web.ShiroFilterFactoryBean">`
2.  `<property name="securityManager" ref="securityManager" />`
3.  `<property name="loginUrl" value="/u/login.shtml" />`
4.  `<property name="successUrl" value="/" />`
5.  `<property name="unauthorizedUrl" value="/?login" />`
6.  ``
7.  ``
8.  `<property name="filterChainDefinitions" >`
9.  `<value>`
10. `/page/login.jsp = anon `
11. `/page/register/* = anon`
12. `/page/index.jsp = authc`
13. `/page/addItem* = authc,roles[数据管理员]`
14. `/page/file* = authc,roleOR[普通用户,数据管理员]`
15. `/page/listItems* = authc,roleOR[数据管理员,普通用户]`
16. `/page/showItem* = authc,roleOR[数据管理员,普通用户]`
17. `/page/updateItem*=authc,roles[数据管理员]`
18. `/** = anon `
19. `</value>`
20. `</property>`
21. ``
22. `<property name="filters">`
23. `<util:map>`
24. `<entry key="login" value-ref="login"></entry>`
25. `</util:map>`
26. `</property>`
27. `</bean>`

通常采用以上配置，不过本教程采用动态加载方式，就是从数据库获取，从配置文件获取等方式，也就是你可以把权限存储一部分放在数据库，一部分存储到配置文件，然后修改更新。本教程是如下方式加载（粘贴代码去掉`“\”` ）。

1.  `<property name="filterChainDefinitions" value="#\{shiroManager.loadFilterChainDefinitions()\}"/>`

`配置文件加载相关看这里：`

`1. Shiro教程（十）Shiro 权限动态加载与配置精细讲解。`

`2. Shiro教程，Shiro 配置文件详细解释，Shiro自定义Filter配置`

`3. Java有序读取配置文件，有序读取ini配置文件 （这个我为什么放在这里说呢，因为好多人都不知道我们平常用的*.properties 配置是无序的，而我们现在加载要有序）`

### `8.3 会话Session 相关` ###

#### `8.3.1 会话Session ID生成器` ####

`这个Session ID 生成器，在当前Demo 里采用的是 UUID 去掉“-” ，其实我们平常用的也是 UUID 。如果你想重写继承org.apache.shiro.session.mgt.eis.JavaUuidSessionIdGenerator 然后重写即可，我也重写了，只是做了一下小改动，就是把 UUID 的“-” 去掉了。`

1.  `public class SOSJONSessionIdGenerator extends JavaUuidSessionIdGenerator {`
2.  `public final static String SID_KEY = "uid:%s:%s";`
3.  `@Override`
4.  `public Serializable generateId(Session session) {`
5.  `//这里只是做一个小小的演示，具体功能你可以自己丰富。`
6.  `String sid = super.generateId(session).toString();`
7.  `return sid.replaceAll("-", "");`
8.  `}`
9.  `}`

#### 8.3.2 会话Cookie模板 ####

这里重要的一点是domain属性，它是配置Session的Cookie存储的域，如果不配置默认存储当前域，如果你是域名方式，最好是配置。掌握了这一点，在相同一级域名下做单点登录就好做多了。原理其实很简单。

如下配置，我把`domain` 配置为`.sojson.com` ，意思为不管是`sojson.com` 下的几级域名都对一级域名下有读写权限，换种说法不管是`www.sojson.com` ，`admin.sojson.com` 、 `user.admin.sojson.com` 都可以获取到这个 [Cookie][] 值，懂了吗？

1.  ``
2.  `<bean id="sessionIdCookie" class="org.apache.shiro.web.servlet.SimpleCookie">`
3.  ``
4.  `<constructor-arg value="sid_demo"/>`
5.  `<property name="httpOnly" value="true"/>`
6.  ``
7.  `<property name="maxAge" value="-1"/>`
8.  ``
11. `</bean>`

`如果对一级域名、二级域名等不了解，请看这篇介绍：单个项目多个二级域名简单实现思路 。`

`Shiro简单解决多个二级域名的单点登录，请看这里详细介绍：Shiro 通过配置Cookie 解决多个二级域名的单点登录问题。`

`自主实现CAS（单点登录）思路设计：N多系统单点登录，实现、解决方案。四种解决方案 。`

### `8.4 Shiro Remember Me（记住我）` ###

`当我们经常遇到一些网站，在登录的时候有一个勾选（checkbox ）记住我选项，当你勾选后一段时间再次访问，你还是登录状态，感觉有点神奇，当然在你技术一定的积累上，你自己也可以实现，我也曾经实现过，还是总是不那么完美。Shiro Remember Me 就是这个功能。`

`Remember Me Cookie配置：`

1.  ``
2.  `<bean id="rememberMeCookie" class="org.apache.shiro.web.servlet.SimpleCookie">`
3.  `<constructor-arg value="rememberMe"/>`
4.  `<property name="httpOnly" value="true"/>`
5.  ``
8.  `<property name="maxAge" value="2592000"/>`
9.  `</bean>`

记住上面的一个注释：配置存储`rememberMe Cookie` 的`domain` 为 一级域名， 这里如果配置需要和[Session][]回话一致更好。

如此配置后，在`Java Login` 的时候，设置`Remember Me` 为`true` 就会有此效果。

1.  `ShiroToken token = new ShiroToken(user.getEmail(), user.getPswd());`
2.  `//这里如果是true，下次会记住登录，有效时间是在spring-shiro.xml中的rememberMeCookie配置中的有效期。`
3.  `token.setRememberMe(rememberMe);`
4.  `SecurityUtils.getSubject().login(token);`

`Remember Me 加密Key配置：`

1.  ``
2.  `<bean id="rememberMeManager" class="org.apache.shiro.web.mgt.CookieRememberMeManager">`
3.  ``
4.  `<property name="cipherKey"`
5.  `value="#{T(org.apache.shiro.codec.Base64).decode('3AvVhmFLUs0KTA3Kprsdag==')}"/>`
6.  `<property name="cookie" ref="rememberMeCookie"/>`
7.  `</bean>`

### 8.5 Shiro Session 配置    ###

我们看过Shiro Session（org.apache.shiro.session）源码的同学返现一个情况，Shiro的Session和HttpSession没有关系。实际Shiro 是用Session 代理了HttpSession。

而对Session管理配置文件中配置较多，请看源代码比较妥当，基本都有注释：

1.  ``
2.  `<bean id="customShiroSessionDAO" class="com.sojson.core.shiro.CustomShiroSessionDAO">`
3.  `<property name="shiroSessionRepository" ref="sessionShiroCacheManager"/>`
4.  `<property name="sessionIdGenerator" ref="sessionIdGenerator"/>`
5.  `</bean>`
6.  ``
7.  `<bean id="customSessionManager" class="com.sojson.core.shiro.session.CustomSessionManager">`
8.  `<property name="shiroSessionRepository" ref="sessionShiroCacheManager"/>`
9.  `<property name="customShiroSessionDAO" ref="customShiroSessionDAO"/>`
10. `</bean>`
11. ``
12. ``
13. `<bean id="sessionManager" class="org.apache.shiro.web.session.mgt.DefaultWebSessionManager">`
14. ``
15. `<property name="sessionValidationInterval" value="1800000"/>`
16. ``
17. `<property name="globalSessionTimeout" value="1800000"/>`
18. `<property name="sessionDAO" ref="customShiroSessionDAO"/>`
19. ``
20. `<property name="sessionListeners">`
21. `<list>`
22. `<ref bean="customSessionListener"/>`
23. `</list>`
24. `</property>`
25. ``
26. `<property name="sessionValidationScheduler" ref="sessionValidationScheduler"/>`
27. ``
28. `<property name="sessionValidationSchedulerEnabled" value="true"/>`
29. ``
30. `<property name="deleteInvalidSessions" value="true"/>`
31. `<property name="sessionIdCookie" ref="sessionIdCookie"/>`
32. `</bean>`
33. ``
34. `<bean id="sessionShiroCacheManager" class="com.sojson.core.shiro.cache.impl.SessionShiroCacheManager" >`
35. `<property name="ehCacheManager" ref="ehCacheManager"/>`
36. `</bean>`
37. ``
38. `<bean id="sessionValidationScheduler" class="org.apache.shiro.session.mgt.ExecutorServiceSessionValidationScheduler">`
39. ``
40. `<property name="interval" value="${session.validate.timespan}"/>`
41. `<property name="sessionManager" ref="sessionManager"/>`
42. `</bean>`

### `8.6 小插曲——静态注入` ###

`这里还是讲一下Spring提供的静态注入，要不然怕你看到这里不知道这是什么意思，其实当你了解Spring的静态注入后，你会发现你很多地方用得着，就不用去getBean("name")了，直接静态注入即可。spring-shiro.xml中用到了，如下：`

1.  ``
2.  `<bean class="org.springframework.beans.factory.config.MethodInvokingFactoryBean">`
3.  `<property name="staticMethod" value="org.apache.shiro.SecurityUtils.setSecurityManager"/>`
4.  `<property name="arguments" ref="securityManager"/>`
5.  `</bean>`

静态注入详细讲解：[Spring 静态注入讲解（MethodInvokingFactoryBean）][Spring _MethodInvokingFactoryBean]

## 九、Shiro Ajax 请求拦截、跳转方案    ##

我们知道[Ajax][]不能做页面`redirect`和`forward`跳转，所以[Ajax][]请求假如没登录，那么这个请求给用户的感觉就是没有任何反应，而用户又不知道用户已经退出或是 [Session][] 超时了。这个时候如何解决？

1.  `@Override`
2.  `protected boolean isAccessAllowed(ServletRequest request,`
3.  `ServletResponse response, Object mappedValue) throws Exception {`
4.  `UUser token = TokenManager.getToken();`
5.  `if (null != token || isLoginRequest(request, response)) { // &&// isEnabled()`
6.  `return Boolean.TRUE;`
7.  `}`
8.  `if (ShiroFilterUtils.isAjax(request)) { // ajax请求`
9.  `Map<String, String> resultMap = new HashMap<String, String>();`
10. `LoggerUtils.debug(getClass(), "当前用户没有登录，并且是Ajax请求！");`
11. `resultMap.put("login_status", "300");`
12. `resultMap.put("message",`
13. `"\u5F53\u524D\u7528\u6237\u6CA1\u6709\u767B\u5F55\uFF01");// 当前用户没有登录！`
14. `ShiroFilterUtils.out(response, resultMap);`
15. `}`
16. `return Boolean.FALSE;`
17. `}`

`以上代码和教程代码一致，类路径com.sojson.core.shiro.filter.LoginFilter`

`详细说明，请看这篇：Shiro 教程，Ajax请求拦截跳转页面方案。`

## `十、Freemarker for Shiro 标签使用` ##

`首先Jar包的引入，可能有点偏门，如果你对 Shiro 稍微熟练，又对 Shiro 自定义标签熟悉的话，可以自己写一套。 Maven 引入：`

1.  ``
2.  `<dependency>`
3.  `<groupId>net.mingsoft</groupId>`
4.  `<artifactId>shiro-freemarker-tags</artifactId>`
5.  `<version>0.1</version>`
6.  `<scope>private</scope>`
7.  `</dependency>`
8.  ``

具体用法请参考这：[Shiro教程（八）Shiro Freemarker标签的使用][Shiro_Shiro Freemarker]，这里就不做过多叙述了。具体看项目`Freemarker` 中的使用。

## 十一、JSP for Shiro 标签使用    ##

虽然当前Shiro Demo没有使用JSP，但是鉴于用JSP的同学较多，而当前项目又支持JSP，那么在这里还是提一下。

首先在JSP顶部像引入JSTL相关库一样的这么引入：

1.  `<%@taglib prefix="shiro" uri="http://shiro.apache.org/tags" %>`

`如果报错，或者是飘红，那么请你首先把这个链接复制到浏览器，看是否能打开，如果能打开，那么就剪切、粘贴、剪切、粘贴重复保存几次看看。`

`JSP Shiro标签详细讲解：Shiro教程（九）Shiro JSP标签的使用。`

## `十二、Shiro 登录后获取登录之前的最后一个访问地址` ##

`这个功能乍一看，不懂什么意思，先说明这个功能。下面来举栗子：`

`场景1：当我访问http://www.sojson.com/admin.shtml 的时候，它是一个要登录的页面，那么 Shiro 控制它跳转到登录页，那么登录完毕了呢？应该怎么跳转，可能很多人会想跳转到项目的首页，那要是我继续跳转到原来访问的页面http://www.sojson.com/admin.shtml 呢？是不是用户体验瞬间上升了？`

`场景2：当当前页面Session失效的时候，跳转到登录，然后应该跳转到哪里？应该是最后操作的页面吧，其实和上面差不多。`

`其实我们平时非Shiro的项目也可以获取，但是可能用起来不是那么好用，方法如下：`

1.  `//上一个浏览的非Ajax的地址，在登录后，取得地址，如果不为null，那么就跳转过去。`
2.  `String url = (String) request.getAttribute(WebUtils.FORWARD_REQUEST_URI_ATTRIBUTE);`

上面的`WebUtils` 是 [Shiro][] 里面的工具类，但是这个变量却不是Shiro的，它是：`javax.servlet.forward.request_uri` ，如果不是 [Shiro][] 项目，你直接用这个`“javax.servlet.forward.request_uri”` 即可。

Shiro 获取上一个请求的信息方式：

1.  `/**`
2.  `当Shiro 的Filter拦截请求后，如果不满足条件（return false）,就会走这个方法`
3.  `*/`
4.  `@Override`
5.  `protected boolean onAccessDenied(ServletRequest request, ServletResponse response)`
6.  `throws Exception {`
7.  `//保存Request和Response，登录后可以取到`
8.  `saveRequestAndRedirectToLogin(request, response);`
9.  `return Boolean.FALSE ;`
10. `}`
11. ``
12. `//登录后，取到之前的Request中的一些信息。`
13. `SavedRequest saveRequest = WebUtils.getSavedRequest(request);`
14. `saveRequest.getMethod();//之前的请求方法`
15. `saveRequest.getQueryString();//之前请求的条件`
16. `saveRequest.getRequestURI();//之前请求的路径`
17. `saveRequest.getRequestUrl();//之前请求的全路径`

## `十三、禁止用户登录` ##

`这个功能其实是一个改变用户数据库表里的一个字段，本Demo中：1:有效，0:禁止登录`

`然后踢出用户登录状态。代码详细请查看CustomSessionManager.java 类的forbidUserById(Long id, Long status) 方法。`

`而再次登录的话，需要再登录，而登录的地方限制了用户状态为（0:禁止登录）的用户登录。`

`Java具体实现代码：`

1.  `/**`
2.  `* 查询要禁用的用户是否在线。`
3.  `* @param id 用户ID`
4.  `* @param status 用户状态`
5.  `*/`
6.  `public void forbidUserById(Long id, Long status) {`
7.  `//获取所有在线用户`
8.  `for(UserOnlineBo bo : getAllUser()){`
9.  `Long userId = bo.getId();`
10. `//匹配用户ID`
11. `if(userId.equals(id)){`
12. `//获取用户Session`
13. `Session session = shiroSessionRepository.getSession(bo.getSessionId());`
14. `//标记用户Session`
15. `SessionStatus sessionStatus = (SessionStatus) session.getAttribute(SESSION_STATUS);`
16. `//是否踢出 true:有效，false：踢出。`
17. `sessionStatus.setOnlineStatus(status.intValue() == 1);`
18. `//更新Session`
19. `customShiroSessionDAO.update(session);`
20. `}`
21. `}`
22. `}`

## 十四、在线有效Session显示，在线Session踢出 ##

从 [Ehcache][] 获取所有的 [Session][] ，然后获取有效`Session` ，也就是包含用户信息的`Session` ，然后进行页面展示，这里没做分页，支持踢出、激活功能，踢出后当对方再次操作的时候，会提示“你已经被踢出，请重新登录”，下图展示功能。

![9036867270][]

点击上方“踢出”功能后，不管你点击哪个链接，或者是刷新当前页面，都会提示如下页面。

![4582199328][]

踢出后，不能直接退出，要不然用户感觉莫名其妙。所有增加了一个Filter。`SimpleAuthFilter.java`如果标记为踢出，会提示用户。具体查看源码以及配合项目的使用。

这个看情况，如果你需要用户直接跳转到登录页面去，那么你直接执行获取用户然后 `logout` 即可。

## 十五、用户密码修改 ##

用户密码修改功能很简单，但是有同学转不过弯来，首先密码修改常规做法基本就这2种 ：

*  先输入原来的密码，然后输入新密码，先校验原来的密码是正确的才更新新密码。
 *  直接输入新密码或者根据密码保护填写正确直接更新密码。

但是有人转不过弯来，我怎么校验他原来的密码是否正确，我们校验密码和登录是一样的，按你注册的时候加密的规则加密他输入的老密码，然后进行对比，正确方可修改，和登录功能是一样样的。

![7984889023][]

Java代码实现：

1.  `/**`
2.  `* 个人资料修改`
3.  `* @return`
4.  `*/`
5.  `@RequestMapping(value="updateSelf",method=RequestMethod.POST)`
6.  `@ResponseBody`
7.  `public Map<String,Object> updateSelf(UUser entity){`
8.  `try {`
9.  `userService.updateByPrimaryKeySelective(entity);`
10. ``
11. `resultMap.put("status", 200);`
12. `resultMap.put("message", "修改成功!");`
13. `/**`
14. `* 重新帮用户登录一次，可以显示最新的资料`
15. `*/`
16. `UUser token = TokenManager.getToken();`
17. `Boolean rememberMe = token.getRememberMe();`
18. `token = userService.selectByPrimaryKey(token.getId());`
19. `//修改之后再Login一下，覆盖现有登录信息`
20. `TokenManager.login(token, rememberMe);`
21. `} catch (Exception e) {`
22. `resultMap.put("status", 500);`
23. `resultMap.put("message", "修改失败!");`
24. `LoggerUtils.fmtError(getClass(), e, "修改个人资料出错。[%s]", JSONObject.fromObject(entity).toString());`
25. `}`
26. `return resultMap;`
27. `}`

## `十六、权限管理` ##

### `16.1 权限结构设计（RBAC3）` ###

`权限设计基于RBAC3的结构，即权限赋予角色，角色赋予用户的结构。如下图：`

`对RBAC的理解：RBAC 介绍，结合案例讲解。`

### `16.2 权限增删改查` ###

`当前Demo 依赖于URL控制权限，如下图：`

## `十七、角色的增删改查，以及赋予权限` ##

### `17.1 角色的增删改查` ###

### `17.2 权限分配给角色` ###

## `十八、对用户赋予角色` ##

`当我们把相关权限赋予给角色哦，那每个用户对应到哪些权限？其实这里就是 RBAC3 的宗旨，一切基于角色，也就是所有的用户只能赋予角色，这个和生活中是一样的，下面举个栗子。`

`比如：老王是某公司的技术总监，而且同时是规划部的部长，那老王就是有2个角色，或者说是3个角色，都有公司员工、技术总监、规划部长，那老王就拥有这3个角色的权限。这样懂了吧。`

## `十九、管理员权限自动添加` ##

`为什么有这个需求？管理员的权限控制，无非有2种，一是对管理员不做控制，二是对管理员拥有所有权限。而我们系统就是第二种。`

`每当系统添加了一个新的权限，管理员的角色自动补充一条记录，这样促使管理员角色拥有所有权限。`

1.  `public UPermission insertSelective(UPermission record) {`
2.  `//添加一条权限记录`
3.  `permissionMapper.insertSelective(record);`
4.  ``
5.  `//每添加一个权限，都往【系统管理员 888888】里添加一次。保证系统管理员有最大的权限`
6.  `executePermission(new Long(1), String.valueOf(record.getId()));`
7.  `return record;`
8.  `}`

## 二十、Shiro Demo 项目下载 ##

Shiro Demo 线上展示地址：[http://demo.www.sojson.com/shiro.ehcache/][http_demo.www.sojson.com_shiro.ehcache]

如果你不是Maven项目，请在此处下载Jar包：http://pan.baidu.com/s/1geLHXS3 密码: puym

项目源码下载：还没提交。

[Java]: http://www.sojson.com/tag_java.html
[Spring]: http://www.sojson.com/tag_spring.html
[Security]: http://www.sojson.com/tag_security.html
[Shiro]: http://www.sojson.com/tag_shiro.html
[Shrio]: http://www.sojson.com/tag_shrio.html
[Cache]: http://www.sojson.com/tag_cache.html
[http_www.sojson.com_shiro]: http://www.sojson.com/shiro
[http_www.sojson.com_subsidize.html]: http://www.sojson.com/subsidize.html
[Eclipse]: http://www.sojson.com/tag_eclipse.html
[MyEclipes]: http://www.sojson.com/tag_myeclipes.html
[MyEclipes8.5]: http://www.sojson.com/myeclipse8.5/
[Ehcache]: http://www.sojson.com/tag_ehcache.html
[Mysql]: http://www.sojson.com/tag_mysql.html
[Mysql5.6_Mysql5.7_ _Windows64]: http://www.sojson.com/blog/196.html
[ERROR 1045 _28000_ Access denied for user _root_localhost_ _using password_ YES_]: http://www.sojson.com/blog/197.html
[JDK]: http://www.sojson.com/tag_jdk.html
[Freemarker]: http://www.sojson.com/tag_freemarker.html
[JSP]: http://www.sojson.com/tag_jsp.html
[SpringMvc]: http://www.sojson.com/tag_springmvc.html
[yzm01.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/01/29/f7a9ad2bd8ad41f99633f20098c3659c.png
[4836791025.png]: http://cdn.sojson.com/file/16-02-15-15-32-24/doc/4836791025.png
[6543180972.gif]: https://image.dandelioncloud.cn/pgy_files/images/2024/01/29/6c7eff6791314428895655778c4867b3.png
[Java_]: http://www.sojson.com/blog/70.html
[Java_GJF_]: http://www.sojson.com/blog/71.html
[Cookie]: http://www.sojson.com/tag_cookie.html
[Session]: http://www.sojson.com/tag_session.html
[Spring _MethodInvokingFactoryBean]: http://www.sojson.com/blog/157.html
[Ajax]: http://www.sojson.com/tag_ajax.html
[Shiro_Shiro Freemarker]: http://www.sojson.com/blog/143.html
[9036867270]: https://image.dandelioncloud.cn/pgy_files/images/2024/01/29/5a64b6bf3210455496e00504f17df26f.png
[4582199328]: https://image.dandelioncloud.cn/pgy_files/images/2024/01/29/167fb6997474456bb79479084e563d9c.png
[7984889023]: https://image.dandelioncloud.cn/pgy_files/images/2024/01/29/3ae486648f9d454b8a5b927df2b209e5.png
[http_demo.www.sojson.com_shiro.ehcache]: http://demo.www.sojson.com/shiro.ehcache/