Shiro第三篇【授权过滤器、与ehcache整合、验证码、记住我】

最新推荐文章于 2024-10-01 09:30:48 发布
最新推荐文章于 2024-10-01 09:30:48 发布
阅读量454 收藏 1
点赞数
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/Java_3y/article/details/98867414
版权 
 
 
前言
 
 
本文主要讲解的知识点有以下：
 
 
一、授权过滤器测试
 
 
我们的授权过滤器使用的是permissionsAuthorizationFilter来进行拦截。我们可以在application-shiro中配置filter规则
 
 
        <!--商品查询需要商品查询权限 -->        /items/queryItems.action = perms[item:query]        /items/editItems.action = perms[item:edit] 
        /items/editItems.action = perms[item:edit] 
 
 
测试流程：
1、在applicationContext-shiro.xml中配置filter规则
 
 
2、用户在认证通过后，请求/items/queryItems.action
3、被PermissionsAuthorizationFilter拦截，发现需要“item:query”权限
4、PermissionsAuthorizationFilter 调用realm中的doGetAuthorizationInfo获取数据库中正确的权限
5、PermissionsAuthorizationFilter对item:query 和从realm中获取权限进行对比，如果“item:query”在realm返回的权限列表中，授权通过。
 
 
realm中获取认证的信息，查询出该用户对应的权限，封装到simpleAuthorizationInfo中，PermissionsAuthorizationFilter会根据对应的权限来比对。
 
 
@Override    protected AuthorizationInfo doGetAuthorizationInfo(            PrincipalCollection principals) {        //从 principals获取主身份信息        //将getPrimaryPrincipal方法返回值转为真实身份类型（在上边的doGetAuthenticationInfo认证通过填充到SimpleAuthenticationInfo中身份类型），        ActiveUser activeUser =  (ActiveUser) principals.getPrimaryPrincipal();        //根据身份信息获取权限信息        //从数据库获取到权限数据        List<SysPermission> permissionList = null;        try {            permissionList = sysService.findPermissionListByUserId(activeUser.getUserid());        } catch (Exception e) {            // TODO Auto-generated catch block            e.printStackTrace();        }        //单独定一个集合对象         List<String> permissions = new ArrayList<String>();        if(permissionList!=null){            for(SysPermission sysPermission:permissionList){                //将数据库中的权限标签 符放入集合                permissions.add(sysPermission.getPercode());            }        }    /*  List<String> permissions = new ArrayList<String>();        permissions.add("user:create");//用户的创建        permissions.add("item:query");//商品查询权限        permissions.add("item:add");//商品添加权限        permissions.add("item:edit");//商品修改权限*/        //....        //查到权限数据，返回授权信息(要包括 上边的permissions)        SimpleAuthorizationInfo simpleAuthorizationInfo = new SimpleAuthorizationInfo();        //将上边查询到授权信息填充到simpleAuthorizationInfo对象中        simpleAuthorizationInfo.addStringPermissions(permissions);        return simpleAuthorizationInfo;    }
    protected AuthorizationInfo doGetAuthorizationInfo(
            PrincipalCollection principals) {

        //从 principals获取主身份信息
        //将getPrimaryPrincipal方法返回值转为真实身份类型（在上边的doGetAuthenticationInfo认证通过填充到SimpleAuthenticationInfo中身份类型），
        ActiveUser activeUser =  (ActiveUser) principals.getPrimaryPrincipal();

        //根据身份信息获取权限信息
        //从数据库获取到权限数据
        List<SysPermission> permissionList = null;
        try {
            permissionList = sysService.findPermissionListByUserId(activeUser.getUserid());
        } catch (Exception e) {
            // TODO Auto-generated catch block
            e.printStackTrace();
        }
        //单独定一个集合对象 
        List<String> permissions = new ArrayList<String>();
        if(permissionList!=null){
            for(SysPermission sysPermission:permissionList){
                //将数据库中的权限标签 符放入集合
                permissions.add(sysPermission.getPercode());
            }
        }


    /*  List<String> permissions = new ArrayList<String>();
        permissions.add("user:create");//用户的创建
        permissions.add("item:query");//商品查询权限
        permissions.add("item:add");//商品添加权限
        permissions.add("item:edit");//商品修改权限
*/        //....

        //查到权限数据，返回授权信息(要包括 上边的permissions)
        SimpleAuthorizationInfo simpleAuthorizationInfo = new SimpleAuthorizationInfo();
        //将上边查询到授权信息填充到simpleAuthorizationInfo对象中
        simpleAuthorizationInfo.addStringPermissions(permissions);

        return simpleAuthorizationInfo;
    }
 
 
在bean中我们已经配置了：如果没有权限，那么跳转到哪个JSP页面了
 
 
        <!-- 通过unauthorizedUrl指定没有权限操作时跳转页面-->        <property name="unauthorizedUrl" value="/refuse.jsp" />
        <property name="unauthorizedUrl" value="/refuse.jsp" />
 
 
到目前为止，现在问题又来了：
 
 
1、在applicationContext-shiro.xml中配置过虑器链接，需要将全部的url和权限对应起来进行配置，比较发麻不方便使用。
 
 
2、每次授权都需要调用realm查询数据库，对于系统性能有很大影响，可以通过shiro缓存来解决。
 
 
 
 
二、使用注解式和标签式配置授权
 
 
上面的那种方法，还是需要我们将全部的url和权限对应起来进行配置，是比较不方便的。我们可以使用授权的另外两种方式
 
 
2.1注解式
 
 
如果要使用注解式，那么就必须在Spring中开启controller类aop支持
 
 
    <!-- 开启aop，对类代理 -->    <aop:config proxy-target-class="true"></aop:config>    <!-- 开启shiro注解支持 -->    <bean        class="org.apache.shiro.spring.security.interceptor.AuthorizationAttributeSourceAdvisor">        <property name="securityManager" ref="securityManager" />    </bean>
    <aop:config proxy-target-class="true"></aop:config>
    <!-- 开启shiro注解支持 -->
    <bean
        class="
org.apache.shiro.spring.security.interceptor.AuthorizationAttributeSourceAdvisor">
        <property name="securityManager" ref="securityManager" />
    </bean>
 
 
在Controller中使用注解来进行配置就行了，就不用在我们的application-shiro中全部集中配置了
 
 
    //商品信息方法    @RequestMapping("/queryItems")    @RequiresPermissions("item:query")//执行queryItems需要"item:query"权限    public ModelAndView queryItems(HttpServletRequest request) throws Exception {        System.out.println(request.getParameter("id"));        //调用service查询商品列表        List<ItemsCustom> itemsList = itemsService.findItemsList(null);        ModelAndView modelAndView = new ModelAndView();        modelAndView.addObject("itemsList", itemsList);        // 指定逻辑视图名        modelAndView.setViewName("itemsList");        return modelAndView;    }
    @RequestMapping("/queryItems")
    @RequiresPermissions("item:query")//执行queryItems需要"item:query"权限
    public ModelAndView queryItems(HttpServletRequest request) throws Exception {

        System.out.println(request.getParameter("id"));

        //调用service查询商品列表
        List<ItemsCustom> itemsList = itemsService.findItemsList(null);

        ModelAndView modelAndView = new ModelAndView();
        modelAndView.addObject("itemsList", itemsList);
        // 指定逻辑视图名
        modelAndView.setViewName("itemsList");

        return modelAndView;
    }
 
 
 
 
2.2jsp标签 授权
 
 
 
  640?wx_fmt=png 
  

    这里写图片描述 
  
 
 
 
 
 
  640?wx_fmt=png 
  

    这里写图片描述 
  
 
 
 
 
当调用controller的一个方法，由于该 方法加了@RequiresPermissions("item:query") ，shiro调用realm获取数据库中的权限信息，看"item:query"是否在权限数据中存在，如果不存在就拒绝访问，如果存在就授权通过。
 
 
当展示一个jsp页面时，页面中如果遇到，shiro调用realm获取数据库中的权限信息，看item:update是否在权限数据中存在，如果不存在就拒绝访问，如果存在就授权通过。
 
 
 
 
三、Shiro缓存
 
 
针对上边授权频繁查询数据库，需要使用shiro缓存
 
 
3.1缓存流程
 
 
shiro中提供了对认证信息和授权信息的缓存。shiro默认是关闭认证信息缓存的，对于授权信息的缓存shiro默认开启的。主要研究授权信息缓存，因为授权的数据量大。
 
 
用户认证通过。
 
 
该用户第一次授权：调用realm查询数据库
该用户第二次授权：不调用realm查询数据库，直接从缓存中取出授权信息（权限标识符）。
 
 
3.2使用ehcache和Shiro整合
 
 
导入jar包
 
 
 
  640?wx_fmt=png 
  

    这里写图片描述 
  
 
 
 
 
配置缓存管理器，注入到安全管理器中
 
 
<!-- 缓存管理器 --><bean id="cacheManager" class="org.apache.shiro.cache.ehcache.EhCacheManager">        <property name="cacheManagerConfigFile" value="classpath:shiro-ehcache.xml"/>    </bean>
<bean id="cacheManager" class="org.apache.shiro.cache.ehcache.EhCacheManager">
        <property name="cacheManagerConfigFile" value="classpath:shiro-ehcache.xml"/>
    </bean>
 
 
    <!-- securityManager安全管理器 -->    <bean id="securityManager" class="org.apache.shiro.web.mgt.DefaultWebSecurityManager">        <property name="realm" ref="customRealm" />        <!-- 注入缓存管理器 -->        <property name="cacheManager" ref="cacheManager"/>    </bean>
    <bean id="securityManager" class="org.apache.shiro.web.mgt.DefaultWebSecurityManager">
        <property name="realm" ref="customRealm" />
        <!-- 注入缓存管理器 -->
        <property name="cacheManager" ref="cacheManager"/>
    </bean>
 
 
ehcache的配置文件shiro-ehcache.xml：
 
 
<ehcache xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance"    xsi:noNamespaceSchemaLocation="../config/ehcache.xsd">    <!--diskStore：缓存数据持久化的目录 地址  -->    <diskStore path="F:\develop\ehcache" />    <defaultCache         maxElementsInMemory="1000"         maxElementsOnDisk="10000000"        eternal="false"         overflowToDisk="false"         diskPersistent="false"        timeToIdleSeconds="120"        timeToLiveSeconds="120"         diskExpiryThreadIntervalSeconds="120"        memoryStoreEvictionPolicy="LRU">    </defaultCache></ehcache>
    <!--diskStore：缓存数据持久化的目录 地址  -->
    <diskStore path="F:\develop\ehcache" />
    <defaultCache 
        maxElementsInMemory="1000" 
        maxElementsOnDisk="10000000"
        eternal="false" 
        overflowToDisk="false" 
        diskPersistent="false"
        timeToIdleSeconds="120"
        timeToLiveSeconds="120" 
        diskExpiryThreadIntervalSeconds="120"
        memoryStoreEvictionPolicy="LRU">
    </defaultCache>
</ehcache>
 
 
3.3缓存清空
 
 
如果用户正常退出，缓存自动清空。
如果用户非正常退出，缓存自动清空。
 
 
还有一种情况：
 
 
清除缓存：
 
 
    //清除缓存    public void clearCached() {        PrincipalCollection principals = SecurityUtils.getSubject().getPrincipals();        super.clearCache(principals);    }
    public void clearCached() {
        PrincipalCollection principals = SecurityUtils.getSubject().getPrincipals();
        super.clearCache(principals);
    }
 
 
3.4sessionManager
 
 
和shiro整合后，使用shiro的session管理，shiro提供sessionDao操作 会话数据。
 
 
配置sessionManager
 
 
<!-- 会话管理器 -->    <bean id="sessionManager" class="org.apache.shiro.web.session.mgt.DefaultWebSessionManager">        <!-- session的失效时长，单位毫秒 -->        <property name="globalSessionTimeout" value="600000"/>        <!-- 删除失效的session -->        <property name="deleteInvalidSessions" value="true"/>    </bean>
    <bean id="sessionManager" class="org.apache.shiro.web.session.mgt.DefaultWebSessionManager">
        <!-- session的失效时长，单位毫秒 -->
        <property name="globalSessionTimeout" value="600000"/>
        <!-- 删除失效的session -->
        <property name="deleteInvalidSessions" value="true"/>
    </bean>
 
 
注入到安全管理器中
 
 
<!-- securityManager安全管理器 --><bean id="securityManager" class="org.apache.shiro.web.mgt.DefaultWebSecurityManager">        <property name="realm" ref="customRealm" />        <!-- 注入缓存管理器 -->        <property name="cacheManager" ref="cacheManager"/>        <!-- 注入session管理器 -->        <property name="sessionManager" ref="sessionManager" /></bean>
<bean id="securityManager" class="org.apache.shiro.web.mgt.DefaultWebSecurityManager">
        <property name="realm" ref="customRealm" />
        <!-- 注入缓存管理器 -->
        <property name="cacheManager" ref="cacheManager"/>
        <!-- 注入session管理器 -->
        <property name="sessionManager" ref="sessionManager" />

</bean>
 
 
 
 
四、验证码
 
 
在登陆的时候，我们一般都设置有验证码，但是我们如果使用Shiro的话，那么Shiro默认的是使用FormAuthenticationFilter进行表单认证。
 
 
而我们的验证校验的功能应该加在FormAuthenticationFilter中，在认证之前进行验证码校验。
 
 
FormAuthenticationFilter是Shiro默认的功能，我们想要在FormAuthenticationFilter之前进行验证码校验，就需要继承FormAuthenticationFilter类，改写它的认证方法！
 
 
4.1自定义Form认证类
 
 
public class CustomFormAuthenticationFilter extends FormAuthenticationFilter {    //原FormAuthenticationFilter的认证方法    @Override    protected boolean onAccessDenied(ServletRequest request,            ServletResponse response) throws Exception {        //在这里进行验证码的校验        //从session获取正确验证码        HttpServletRequest httpServletRequest = (HttpServletRequest) request;        HttpSession session =httpServletRequest.getSession();        //取出session的验证码（正确的验证码）        String validateCode = (String) session.getAttribute("validateCode");        //取出页面的验证码        //输入的验证和session中的验证进行对比         String randomcode = httpServletRequest.getParameter("randomcode");        if(randomcode!=null && validateCode!=null && !randomcode.equals(validateCode)){            //如果校验失败，将验证码错误失败信息，通过shiroLoginFailure设置到request中            httpServletRequest.setAttribute("shiroLoginFailure", "randomCodeError");            //拒绝访问，不再校验账号和密码             return true;         }        return super.onAccessDenied(request, response);    }}class CustomFormAuthenticationFilter extends FormAuthenticationFilter {

    //原FormAuthenticationFilter的认证方法
    @Override
    protected boolean onAccessDenied(ServletRequest request,
            ServletResponse response) throws Exception {
        //在这里进行验证码的校验

        //从session获取正确验证码
        HttpServletRequest httpServletRequest = (HttpServletRequest) request;
        HttpSession session =httpServletRequest.getSession();
        //取出session的验证码（正确的验证码）
        String validateCode = (String) session.getAttribute("validateCode");

        //取出页面的验证码
        //输入的验证和session中的验证进行对比 
        String randomcode = httpServletRequest.getParameter("randomcode");
        if(randomcode!=null && validateCode!=null && !randomcode.equals(validateCode)){
            //如果校验失败，将验证码错误失败信息，通过shiroLoginFailure设置到request中
            httpServletRequest.setAttribute("shiroLoginFailure", "randomCodeError");
            //拒绝访问，不再校验账号和密码 
            return true; 
        }
        return super.onAccessDenied(request, response);
    }


}
 
 
4.2配置自定义类
 
 
我们编写完自定义类以后，是需要在Shiro配置文件中配置我们这个自定义类的。
 
 
由于这是我们自定义的，因此我们并不需要用户名就使用username，密码就使用password，这个也是我们可以自定义的。
 
 
<!-- 自定义form认证过虑器 --><!-- 基于Form表单的身份验证过滤器，不配置将也会注册此过虑器，表单中的用户账号、密码及loginurl将采用默认值，建议配置 -->    <bean id="formAuthenticationFilter"     class="cn.itcast.ssm.shiro.CustomFormAuthenticationFilter ">        <!-- 表单中账号的input名称 -->        <property name="usernameParam" value="username" />        <!-- 表单中密码的input名称 -->        <property name="passwordParam" value="password" /> </bean>
<!-- 基于Form表单的身份验证过滤器，不配置将也会注册此过虑器，表单中的用户账号、密码及loginurl将采用默认值，建议配置 -->
    <bean id="formAuthenticationFilter" 
    class="cn.itcast.ssm.shiro.CustomFormAuthenticationFilter ">
        <!-- 表单中账号的input名称 -->
        <property name="usernameParam" value="username" />
        <!-- 表单中密码的input名称 -->
        <property name="passwordParam" value="password" />
</bean>
 
 
在Shiro的bean中注入自定义的过滤器
 
 
        <!-- 自定义filter配置 -->        <property name="filters">            <map>                <!-- 将自定义 的FormAuthenticationFilter注入shiroFilter中-->                <entry key="authc" value-ref="formAuthenticationFilter" />            </map>        </property>
        <property name="filters">
            <map>
                <!-- 将自定义 的FormAuthenticationFilter注入shiroFilter中-->
                <entry key="authc" value-ref="formAuthenticationFilter" />
            </map>
        </property>
 
 
在我们的Controller添加验证码错误的异常判断，从我们的Controller就可以发现，为什么我们要把错误信息存放在request域对象shiroLoginFailure，因为我们得在Controller中获取获取信息，从而给用户对应的提示
 
 
    @RequestMapping("login")    public String login(HttpServletRequest request)throws Exception{        //如果登陆失败从request中获取认证异常信息，shiroLoginFailure就是shiro异常类的全限定名        String exceptionClassName = (String) request.getAttribute("shiroLoginFailure");        //根据shiro返回的异常类路径判断，抛出指定异常信息        if(exceptionClassName!=null){            if (UnknownAccountException.class.getName().equals(exceptionClassName)) {                //最终会抛给异常处理器                throw new CustomException("账号不存在");            } else if (IncorrectCredentialsException.class.getName().equals(                    exceptionClassName)) {                throw new CustomException("用户名/密码错误");            } else if("randomCodeError".equals(exceptionClassName)){                throw new CustomException("验证码错误 ");            }else {                throw new Exception();//最终在异常处理器生成未知错误            }        }        //此方法不处理登陆成功（认证成功），shiro认证成功会自动跳转到上一个请求路径        //登陆失败还到login页面        return "login";    }"login")
    public String login(HttpServletRequest request)throws Exception{

        //如果登陆失败从request中获取认证异常信息，shiroLoginFailure就是shiro异常类的全限定名
        String exceptionClassName = (String) request.getAttribute("shiroLoginFailure");
        //根据shiro返回的异常类路径判断，抛出指定异常信息
        if(exceptionClassName!=null){
            if (UnknownAccountException.class.getName().equals(exceptionClassName)) {
                //最终会抛给异常处理器
                throw new CustomException("账号不存在");
            } else if (IncorrectCredentialsException.class.getName().equals(
                    exceptionClassName)) {
                throw new CustomException("用户名/密码错误");
            } else if("randomCodeError".equals(exceptionClassName)){
                throw new CustomException("验证码错误 ");
            }else {
                throw new Exception();//最终在异常处理器生成未知错误
            }
        }
        //此方法不处理登陆成功（认证成功），shiro认证成功会自动跳转到上一个请求路径
        //登陆失败还到login页面
        return "login";
    }
 
 
 
  640?wx_fmt=png 
  

    这里写图片描述 
  
 
 
 
 
    <TR>        <TD>验证码：</TD>        <TD><input id="randomcode" name="randomcode" size="8" /> <img                id="randomcode_img" src="${baseurl}validatecode.jsp" alt=""                width="56" height="20" align='absMiddle' /> <a                href=javascript:randomcode_refresh()>刷新</a></TD>    </TR>
        <TD>验证码：</TD>
        <TD><input id="randomcode" name="randomcode" size="8" /> <img
                id="randomcode_img" src="${baseurl}validatecode.jsp" alt=""
                width="56" height="20" align='absMiddle' /> <a
                href=javascript:randomcode_refresh()>刷新</a></TD>
    </TR>
 
 
五、记住我
 
 
Shiro还提供了记住用户名和密码的功能！
 
 
用户登陆选择“自动登陆”本次登陆成功会向cookie写身份信息，下次登陆从cookie中取出身份信息实现自动登陆。
 
 
想要实现这个功能，我们的认证信息需要实现Serializable接口。
 
 
public class ActiveUser implements java.io.Serializable {    private String userid;//用户id（主键）    private String usercode;// 用户账号    private String username;// 用户名称    private List<SysPermission> menus;// 菜单    private List<SysPermission> permissions;// 权限}class ActiveUser implements java.io.Serializable {
    private String userid;//用户id（主键）
    private String usercode;// 用户账号
    private String username;// 用户名称

    private List<SysPermission> menus;// 菜单
    private List<SysPermission> permissions;// 权限


}
 
 
5.1配置rememeber管理器
 
 
<!-- rememberMeManager管理器，写cookie，取出cookie生成用户信息 -->    <bean id="rememberMeManager" class="org.apache.shiro.web.mgt.CookieRememberMeManager">        <property name="cookie" ref="rememberMeCookie" />    </bean>    <!-- 记住我cookie -->    <bean id="rememberMeCookie" class="org.apache.shiro.web.servlet.SimpleCookie">        <!-- rememberMe是cookie的名字 -->        <constructor-arg value="rememberMe" />        <!-- 记住我cookie生效时间30天 -->        <property name="maxAge" value="2592000" />    </bean>
    <bean id="rememberMeManager" class="org.apache.shiro.web.mgt.CookieRememberMeManager">
        <property name="cookie" ref="rememberMeCookie" />
    </bean>
    <!-- 记住我cookie -->
    <bean id="rememberMeCookie" class="org.apache.shiro.web.servlet.SimpleCookie">
        <!-- rememberMe是cookie的名字 -->
        <constructor-arg value="rememberMe" />
        <!-- 记住我cookie生效时间30天 -->
        <property name="maxAge" value="2592000" />
    </bean>
 
 
注入到安全管理器类上
 
 
    <!-- securityManager安全管理器 -->    <bean id="securityManager"～～～····        <property name="cacheManager" ref="cacheManager"/>        <!-- 注入session管理器 -->        <property name="sessionManager" ref="sessionManager" />        <!-- 记住我 -->        <property name="rememberMeManager" ref="rememberMeManager"/>        </bean>
    <bean id="securityManager"～～～····
        <property name="cacheManager" ref="cacheManager"/>
        <!-- 注入session管理器 -->
        <property name="sessionManager" ref="sessionManager" />
        <!-- 记住我 -->
        <property name="rememberMeManager" ref="rememberMeManager"/>    
    </bean>
 
 
配置页面的input名称：
 
 
            <tr>                <TD></TD>                <td><input type="checkbox" name="rememberMe" />自动登陆</td>            </tr>
                <TD></TD>
                <td><input type="checkbox" name="rememberMe" />自动登陆</td>
            </tr>
 
 
如果设置了“记住我”，那么访问某些URL的时候，我们就不需要登陆了。将记住我即可访问的地址配置让UserFilter拦截。
 
 
        <!-- 配置记住我或认证通过可以访问的地址 -->        /index.jsp  = user        /first.action = user        /welcome.jsp = user
        /index.jsp  = user
        /first.action = user
        /welcome.jsp = user
 
 
六、总结
 
 
 
  
如果文章有错的地方欢迎指正，大家互相交流。习惯在微信看技术文章，想要获取更多的Java资源的同学，可以关注微信公众号:Java3y
 
 
 
 

 


                

        

        

    

  


    

      

        

            

              
                
                  Java3y
                
              
            

            

                关注
              
            

        

        

          
      

      









                



	

		

			

				
					
shiro 与 spring 整合、动态过滤链、以及认证、授权.docx

				
			

			

				

					07-20
				

			

		

		

			
				
例如，设置 `contextConfigLocation` 参数来指定 Spring 应用上下文配置文件的位置，并使用 `DelegatingFilterProxy` 作为 Shiro 过滤器，确保过滤器生命周期与 Spring 管理的 bean 生命周期同步。  ```xml   ...

			
		

	



                

            
              



	

		

			

				
					
shiro的过滤器和权限控制

				
			

			

				

					weixin_44044929的博客
				

				

					07-21
					
					2580
					
				

			

		

		

			
				
shiro的过滤器配置、权限控制

			
		

	



              


  
              

                


	

		

			

				
					
Shiro之验证码篇

				
			

			

				

					qq_43654581的博客
				

				

					10-16
					
					2088
					
				

			

		

		

			
				
账号登录时，根据图片输入验证码，校验失败拒绝登录

			
		

	





	

		

			

				
					
Shiro中的认证和授权流程是怎样的？

					
最新发布

				
			

			

				

					alankuo的专栏
				

				

					10-01
					
					969
					
				

			

		

		

			
				
【代码】Shiro中的认证和授权流程是怎样的？

			
		

	



		

			
		



	

		

			

				
					
PermissionsAuthorizationFilter 自定义权限校检

				
			

			

				

					lao_hu_的博客
				

				

					09-06
					
					255
					
				

			

		

		

			
				
自定义权限校检

			
		

	





	

		

			

				
					
shiro框架源码解析与改造（八）---PermissionsAuthorizationFilter

				
			

			

				

					ljz2016的博客
				

				

					08-10
					
					2478
					
				

			

		

		

			
				
PermissionsAuthorizationFilter是权限验证的关键过滤器。



@Override
    protected boolean onPreHandle(ServletRequest request, ServletResponse response, Object mappedValue) throws Exception {
        return this.i...

			
		

	





	

		

			

				
					
Shiro权限控制(二):自定义Filter

					
热门推荐

				
			

			

				

					kity9420的专栏
				

				

					04-07
					
					1万+
					
				

			

		

		

			
				
通过自定义Filter实现权限配置，如某个URL需要某个角色的某个权限才能操作

			
		

	





	

		

			

				
					
spring boot整合shiro实现url请求过滤

				
			

			

				

					07-13
				

			

		

		

			
				
本demo为Spring boot整合shiro，以mybatis plus做dao层交互数据，实现了读取数据库用户数据实现用户登录，权限认证，读取数据库中用户对应的url请求，实现请求的过滤。自定义了relam和过滤器来实现这些功能

			
		

	





	

		

			

				
					
springmvc+shiro自定义过滤器的实现代码

				
			

			

				

					08-26
				

			

		

		

			
				
SpringMVC+Shiro自定义过滤器的实现代码  itle"springmvc+shiro自定义过滤器的实现代码"所涉及的知识点如下：  1. SpringMVC拦截器  在SpringMVC中，拦截器（Interceptor）是一种特殊的Bean，它可以在请求处理之前、...

			
		

	





	

		

			

				
					
Spring Boot 自定义 Shiro 过滤器无法使用 @Autowired问题及解决方法

				
			

			

				

					08-25
				

			

		

		

			
				
Spring Boot 自定义 Shiro 过滤器无法使用 @Autowired 问题及解决方法  在 Spring Boot 中集成 Shiro 并使用 JWT 进行接口认证时，可能会遇到自定义 Shiro 过滤器无法使用 @Autowired 问题。下面将详细介绍该问题及...

			
		

	





	

		

			

				
					
基于Java和SpringBoot的Shiro权限认证与授权整合实践源码

				
			

			

				

					09-28
				

			

		

		

			
				
本项目为Java语言编写，采用SpringBoot框架，成功整合了Shiro权限认证与授权机制，旨在实现高效的权限认定和授权管理。项目包含22个文件，涵盖9个Java源文件、5个HTML文件、2个属性文件、1个Git忽略文件、1个JAR包...

			
		

	





	

		

			

				
					
【Shiro】3. Shiro授权流程

				
			

			

				

					xiaoyuan_27的博客
				

				

					12-20
					
					807
					
				

			

		

		

			
				
授权

授权，即访问控制，控制谁能访问哪些资源。主体进行身份认证后需要分配权限方可访问系统的资源，对于某些资源没有权限是无法访问的。

授权的关键对象

授权可简单理解为Who对What / Which进行How操作。

Who：主体（Subject），主体需要访问系统中的资源。
	What / Which：资源（Resource），如系统菜单、页面、按钮、类方法、系统商品信息等。资源包括资源类型和资源实例，比如商品信息为资源类型，类型为Type01的商品为资源实例，编号为001的商品信息也属于资源实例。


			
		

	





	

		

			

				
					
Shiro-集成验证码

				
			

			

				

					iijik55的博客
				

				

					08-24
					
					1081
					
				

			

		

		

			
				
验证码的原理很简单: 在用户访问登录页面时请求服务器生成验证码, 服务器将生成的验证码保存至SESSION后生成验证码图片并显示在登录页面, 由于程序识别图片内容的成功率较低, 而人可以很快识别图片中的内容, 以此减少非人为的登录等非法操作.中讲到, Shiro登录失败的错误是以异常的方式抛出, Shiro提供常见的错误异常, 但并提供没有验证码错误异常. 我们需要自定义两个和验证码相关的异常。Kaptcha是谷歌开源的一个验证码插件, 通过在Web.xml中配置内置的Servlet即可实现生成验证码.

			
		

	





	

		

			

				
					
Shiro的认证和授权过程

				
			

			

				

					weixin_44736853的博客
				

				

					07-30
					
					2318
					
				

			

		

		

			
				
认证：是一个身份验证的过程，要证明他们的身份，需要提供principals(身份)和credentials(凭证)。身份有多种，包括邮箱，账号等能表示subject身份的信息，凭证有密码，指纹，数字证书等。一般就是登录，获取账号和密码。
认证过程主要分为三步：
step1:收集subject的principals(身份)和credentials(凭证）
1.首先拿到当前currentUser，
Subject currentUser = SecurityUtils.getSubject();

1.1利用c

			
		

	





	

		

			

				
					
Shiro之授权

				
			

			

				

					liubopro666的博客
				

				

					01-07
					
					1109
					
				

			

		

		

			
				
在当今的应用开发中，安全是至关重要的一环。而 Shiro 作为一个强大而灵活的安全框架，为我们提供了一种简单而有效的方式来管理应用程序的授权。在这篇博客中，我将带领大家深入了解 Shiro 的授权功能，以及如何使用 Shiro 来保护我们的应用程序。通过实际的案例和代码示例，我将向你展示如何使用 Shiro 来控制对资源的访问，以及如何实现细粒度的权限控制。你将了解到如何定义权限、分配角色，以及在运行时进行动态的授权决策。

			
		

	





	

		

			

				
					
Shiro学习笔记——（7）实战之认证授权

				
			

			

				

					星_陨的博客
				

				

					04-06
					
					498
					
				

			

		

		

			
				
一、登录认证（1）原理使用FormAuthenticationFilter过虑器实现将用户没有认证时，请求loginurl进行认证，用户身份和用户密码提交数据到loginurl，FormAuthenticationFilter拦截住取出request中的username和password（两个参数名称是可以配置的），FormAuthenticationFilter调用realm传入一个token（...

			
		

	





	

		

			

				
					
Shiro 授权过程

				
			

			

				

					weixin_43145065的博客
				

				

					10-19
					
					136
					
				

			

		

		

			
				
Shiro 授权过程

			
		

	





	

		

			

				
					
Shiro之授权流程篇

				
			

			

				

					qq_43654581的博客
				

				

					10-29
					
					408
					
				

			

		

		

			
				
了解Shiro的授权流程，并debug演示

			
		

	





	

		

			

				
					
Shiro学习

				
			

			

				

					so
				

				

					04-03
					
					356
					
				

			

		

		

			
				
#shiro
单词概念
Authentication：身份认证 / 登录，验证用户是不是拥有相应的身份；
Authorization：授权，即权限验证，验证某个已认证的用户是否拥有某个权限；即判断用户是否能做事情，常见的如：验证某个用户是否拥有某个角色。或者细粒度的验证某个用户对某个资源是否具有某个权限；
Session Manager：会话管理，即用户登录后就是一次会话，在没有退出之前，它的所有信息都在会话中；会话可以是普通 JavaSE 环境的，也可以是如 Web 环境的；
Cryptography：加

			
		

	





	

		

			

				
					
Apache Shiro与Spring整合：动态过滤链与认证授权详解

				
			

			

				

					
				

			

		

		

			
				
Apache Shiro是一个轻量级且易于理解的Java安全认证框架，与Spring Security相比较，它提供了更为直观的认证和授权机制。Shiro的核心特性之一是Native-Session，它将用户的认证和授权信息存储在Shiro自身的会话中，...

			
		

	



              




          




        



    





    



      

      

        
      

      





	

		评论	
	

	
	




  

    

      添加红包
      
    

    

      

        
        

          
          
        

        
请填写红包祝福语或标题

      

      

        
        

          
          个
        

        
红包个数最小为10个

      

      

        
        

          
          元
        

        
红包金额最低5元

      

      

        
        

          当前余额3.43元
          前往充值 >
        

      

      

        

          需支付：10.00元
        

        
        
      

    

  





  

    
    
  

  

    
    
  








  

    

      

        

          

            
            
成就一亿技术人!

          

          

        

        

          

          

            领取后你会自动成为博主和红包主的粉丝
            规则
          

        

      

      

        

          

            
              
            
            

              
hope_wisdom
 发出的红包
            

          

        

        

          

          

          

        

      

    

    

  



      
      

      
实付元

      
使用余额支付

      

        

          

            
            点击重新获取
          

        

        
扫码支付

      

      

        
          
            
          
          
        
      

      

        
        钱包余额
          0
          

            
            

              

                
抵扣说明：

                
 1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
 2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

              

            

          

      

      余额充值