ShiroFilter工作原理、支持的过滤器、URL 匹配模式、URL 匹配顺序

灰太狼 2024-04-17 19:24 48阅读 0赞

### ShiroFilter工作原理 ###

![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzM2NzYxODMx_size_16_color_FFFFFF_t_70][]

Shiro提供了与Web集成的支持，其通过一个`ShiroFilter`入口来拦截需要安全控制的URL，然后进行相应的控制，ShiroFilter类似于如Strut2/SpringMVC这种web框架的前端控制器，**其是安全控制的入口点，其负责读取配置（如ini配置文件），然后判断URL是否需要登录/权限等工作。**

而要在Spring中使用`Shiro`的话，可在`web.xml`中配置一个`DelegatingFilterProxy`，`DelegatingFilterProxy`作用是自动到`Spring`容器查找名字为`shiroFilter`（`filter-name`）的`bean`并把所有`Filter`的操作委托给它。

前端发起的所有请求都会被ShiroFilter拦截到，访问时，如果有权限或者允许匿名访问，则可以直接访问，否则将会被重定向到 loginUrl(即访问到受保护的url并且没有权限)。

1、在web.xml配置文件中添加DelegatingFilterProxy拦截器：

<filter>
            <filter-name>shiroFilter</filter-name>
            <filter-class>org.springframework.web.filter.DelegatingFilterProxy</filter-class>
            <init-param>
                <param-name>targetFilterLifecycle</param-name>
                <param-value>true</param-value>
            </init-param>
        </filter>
        <filter-mapping>
            <filter-name>shiroFilter</filter-name>
            <url-pattern>/*</url-pattern>
        </filter-mapping>

2、在Spring配置文件中配置ShiroFilterFactoryBean：

注意：

*  id必须和web.xml文件中配置的<filter-class>org.springframework.web.filter.DelegatingFilterProxy</filter-class>名称一致。
 *  filterChainDefinitions 详解： 配置哪些页面需要受保护，以及访问这些页面需要的权限，主要包括以下权限：   
    anon 可以被匿名访问（即不需要登录就可以访问）  
    authc 必须认证(即登录)后才可能访问的页面  
    logout 登出  
    roles 角色过滤器

<bean id="shiroFilter" class="org.apache.shiro.spring.web.ShiroFilterFactoryBean">
            <property name="securityManager" ref="securityManager"></property>
            <property name="loginUrl" value="/WEB-INF/jsp/login.jsp"></property>
            <property name="successUrl" value="index.jsp"></property>
            <property name="unauthorizedUrl" value="/WEB-INF/jsp/sampleIndex.jsp"></property>
            
            <property name="filterChainDefinitions">
                <value>
                    /index.jsp = anon
                    /logo.png = anon
                    /shiro.css = anon
                    /WEB-INF/jsp/login.jsp = anon
                    # allow WebStart to pull the jars for the swing app:
                    /*.jar = anon
                    # everything else requires authentication:
                    /** = authc
                </value>
            </property>
        </bean>

### **支持的过滤器** ###

![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzM2NzYxODMx_size_16_color_FFFFFF_t_70 1][]

### **注意：** ###

1.  ### \[urls\] 部分的配置，其格式是： “url=拦截器\[参数\]，拦截 器\[参数\]”； ###
2.  ### 如果当前请求的 url 匹配 \[urls\] 部分的某个 url 模式，将会 执行其配置的拦截器。 ###
3.  ### anon（anonymous） 拦截器表示匿名访问（即不需要登 录即可访问） ###
4.  ### authc （authentication）拦截器表示需要身份认证通过后 才能访问 ###

### URL 匹配模式 ###

1、url 模式使用 Ant 风格模式

2、Ant 路径通配符支持 ?、 \* 、 \*\*，注意通配符匹配不 包括目录分隔符“/”：

*  ?：**匹配一个字符**，如 /admin? 将匹配 /admin1，但不 匹配 /admin 或 /admin/；
 *   \*：**匹配零个或多个字符串**，如 /admin 将匹配 /admin、 /admin123，但不匹配 /admin/1；
 *   \*\*：**匹配路径中的零个或多个路径**，如 /admin/\*\* 将匹 配 /admin/a 或 /admin/a/b

### URL 匹配顺序 ###

URL 权限采取第一次匹配优先的方式，即从头开始 使用第一个匹配的 url 模式对应的拦截器链。  如：

1.  /bb/\*\*=filter1
2.  /bb/aa=filter2
3.  /\*\*=filter3
4.  如果请求的url是“/bb/aa”，因为按照声明顺序进行匹 配，那么将使用 filter1 进行拦截。

[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzM2NzYxODMx_size_16_color_FFFFFF_t_70]: https://image.dandelioncloud.cn/pgy_files/images/2024/04/17/6083cd4aa5464878ab26efe6cc96d75c.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzM2NzYxODMx_size_16_color_FFFFFF_t_70 1]: https://image.dandelioncloud.cn/pgy_files/images/2024/04/17/a0776de8b74047e2a6313e1808a1a1b6.png