切面编程(三):AspectJ与Shiro不兼容和Spring二次代理错误分析

最新推荐文章于 2024-09-21 10:38:43 发布
最新推荐文章于 2024-09-21 10:38:43 发布
阅读量683 收藏 3
点赞数
文章标签： java 测试 开发工具
原文链接：https://my.oschina.net/u/2372208/blog/1617350
版权

切面编程(三):AspectJ与Shiro不兼容和Spring二次代理错误分析

Shiro与AspectJ的配置 Shiro的配置 根据 我的BLOG文章和官方文档我们可以得知Shiro在使用注解的时的配置是

Shiro与AspectJ的配置

Shiro的配置

根据 我的BLOG文章和官方文档我们可以得知Shiro在使用注解的时的配置是

<bean class="org.springframework.aop.framework.autoproxy.DefaultAdvisorAutoProxyCreator" depends-on="lifecycleBeanPostProcessor"/>
<bean class="org.apache.shiro.spring.security.interceptor.AuthorizationAttributeSourceAdvisor">
 <property name="securityManager" ref="securityManager"/>
</bean>

其基于注解的权限控制功能

  1. 根据类名可以推断是通过切面的Advisor来完成的(AuthorizationAttributeSourceAdvisor)
  2. 所以说它需要创建自己的动态代理类，是由Spring的DefaultAdvisorAutoProxyCreator动态代理创建的

SpringMVC中AspectJ的配置

根据上文，启用基于注解的AspectJ就很简单了，因为基于注解的Shiro一般也在SpringMVC的Context里，我们采用如下配置

<aop:aspectj-autoproxy proxy-target-class="true"/>

在两者分别配置的时候，配置方法都是对的但是一旦公用，会发现AspectJ会失效

失效的解决办法

方法一

解决办法也很简单，注释掉Shiro配置中的第一句

<!--<bean class="org.springframework.aop.framework.autoproxy.DefaultAdvisorAutoProxyCreator" depends-on="lifecycleBeanPostProcessor"/>-->

注释之后Shiro的注解权限管理功能并不会失效，具体原因我们来细细分析

方法二

给DefaultAdvisorAutoProxyCreator加入参数proxyTargetClass为true

<bean class="org.springframework.aop.framework.autoproxy.DefaultAdvisorAutoProxyCreator" depends-on="lifecycleBeanPostProcessor">
 <property name="proxyTargetClass" value="true"/>
</bean>

配置失效的原因

原因在于二次代理

  1. 由于使用了aop:aspectj-autoproxy强制了proxy-target-class
  2. 也就是说对Web层的Class(主要是Controller)使用了CGLib代理
  3. 然后在Shiro进行代理时使用DefaultAdvisorAutoProxyCreator
  4. 原本应该判断Controller，发现没有任何接口，所以使用CGLib来代理
  5. 但是由于Controller已经被CGLib代理过一次了
  6. DefaultAdvisorAutoProxyCreator拿到对不是Contoller本身，而是CGLib的代理结果
  7. CGLib的代理结果本身是有接口的，干扰了DefaultAdvisorAutoProxyCreator的内部判断
  8. 使用JDK去代理CGLib的代理结果
  9. 结果Controller的函数时去了CGLib的接口中找方法名，发现方法不存在，导致代理失败

为什么会确定是这个原因，废了我好大功夫，详情请看代码追踪。。。。没精力就别看了

代码的追踪(可以不看)

aspectj-autoproxy

在配置文件中的 aop:aspectj-autoproxy会最终交给名为 AopNamespaceHandler的类进行处理，进入该类(直接在工程全局搜)我们可以看到

public class AopNamespaceHandler extends NamespaceHandlerSupport {
 public AopNamespaceHandler() {
 }

 public void init() {
 this.registerBeanDefinitionParser("config", new ConfigBeanDefinitionParser());
 this.registerBeanDefinitionParser("aspectj-autoproxy", new AspectJAutoProxyBeanDefinitionParser());
 this.registerBeanDefinitionDecorator("scoped-proxy", new ScopedProxyBeanDefinitionDecorator());
 this.registerBeanDefinitionParser("spring-configured", new SpringConfiguredBeanDefinitionParser());
 }
}

aspectj-autoproxy 是由 AspectJAutoProxyBeanDefinitionParser 注册的，然后根据 该Blog提出的说法

  1. 进入AspectJAutoProxyBeanDefinitionParser
  2. 找到parse函数，看到其调用registerAspectJAnnotationAutoProxyCreatorIfNecessary来注册BeanDefinition
  3. 进入registerAspectJAnnotationAutoProxyCreatorIfNecessary可以看到内部的三个register方法
  4. 三个register方法分别对应上述代码中第一个参数的输入，但是均调用了AopConfigUtils
  5. 点击AopConfigUtils，可以发现所有的方法都最终调用registerOrEscalateApcAsRequired
  6. registerOrEscalateApcAsRequired中有个简单的if…else判断
  7. 主要控制了逻辑，如果存在internalAutoProxyCreator则不进行创建新的

该Blog作者提出，由于

<aop:aspectj-autoproxy/> 方式对应的注册AutoProxyCreator 的方法是：registerAspectJAnnotationAutoProxyCreatorIfNecessary
DefaultAdvisorAutoProxyCreator 方式对应的注册AutoProxyCreator 的方法是：registerAutoProxyCreatorIfNecessary；

最终会在第七步骤的函数里，由于这个if…else判断导致不能存在两个代理，所以不能混合使用 DefaultAdvisorAutoProxyCreator与 aop:aspectj-autoproxy

这个结论是错误的，是因为DefaultAdvisorAutoProxyCreator不会调用registerAutoProxyCreatorIfNecessary，产生错误的原因是 二次代理 作者追踪错了代码，只是恰巧改对了

DefaultAdvisorAutoProxyCreator

来，跟着我找 DefaultAdvisorAutoProxyCreator 如何创建代理的代码

  1. 进入DefaultAdvisorAutoProxyCreator(直接Command或者Ctrl+点击进入)
  2. 看到其继承于AbstractAdvisorAutoProxyCreator，进入
  3. 可以看到AbstractAdvisorAutoProxyCreator继承于AbstractAutoProxyCreator继续进入
  4. AbstractAutoProxyCreator中有一个方法叫做createProxy，名字太直接了，叫做创建代理
  5. 在createProxy中有一个ProxyFactory对象，就是代理的工厂模式(工厂模式请自行学习)
  6. ProxyFactory对象继承于ProxyCreatorSupport
  7. ProxyCreatorSupport中有对象aopProxyFactory用来创建AOP代理(就是切面代理，注意切面代理是属于动态代理的一种)
  8. ProxyCreatorSupport在构造函数中new了一个DefaultAopProxyFactory给aopProxyFactory赋值
  9. 进入DefaultAopProxyFactory可以看到切面代理创建方法createAopProxy
  10. 在判断条件包含 !config.isProxyTargetClass() 时，也就是不使用针对Class的代理的时候，看下一句
  11. return new JdkDynamicAopProxy(config) 根据config配置返回JDK动态代理

这也是我们在文章一中所说的，通常情况下Spring使用针对接口的JDK代理进行动态代理，绕了这么久，我们回到第五步，看 createProxy方法如何使用 ProxyFactory对象

  1. 可以看到createProxy 返回值 return proxyFactory.getProxy(this.getProxyClassLoader())
  2. 进入ProxyFactory对象的getProxy方法
  3. 可以看到 return this.createAopProxy().getProxy(classLoader)
  4. 首先调用了createAopProxy，发现ProxyFactory没有这个方法，所以来自父类 ProxyCreatorSupport
  5. 点击进入 看到createAopProxy 内包含this.getAopProxyFactory().createAopProxy(this)
  6. 首先拿到了上文第九步创建的DefaultAopProxyFactory，然后调用了其createAopProxy

以上完成了 DefaultAdvisorAutoProxyCreator 动态代理的创建

两次代理的内部细节

有一些文章分析给出 无法确定二次代理的情况下哪个代理成功，但是根据我本身追踪日志发现，在Spring启动时，我的切面类日志输出成功

[2016-10-23 14:00:13][qtp1938298155-28][INFO ][] c.b.psas.web.aspect.ControllerLogAspect 28 -- 网络请求开始 RequestURL: / RequestVO参数: null
[2016-10-23 14:00:13][qtp1938298155-28][INFO ][] c.b.psas.web.aspect.ControllerLogAspect 33 -- 网络请求结束 RequestURL: / RequestVO参数: null

但是在调用接口时，开启DEBUG日志，会发现Shiro抛出的异常为

[2016-10-23 13:38:52][qtp1386909980-27][DEBUG][] o.s.web.servlet.DispatcherServlet 1197 -- Handler execution resulted in exception - forwarding to resolved error view: ModelAndView: reference to view with name '/errors/500'; model is {exception=java.lang.IllegalStateException: The mapped controller method class 'com.bestpay.psas.web.controller.manage.LoginController' is not an instance of the actual controller bean class 'com.sun.proxy.$Proxy103'. If the controller requires proxying (e.g. due to @Transactional), please use class-based proxying.
HandlerMethod details:
Controller [com.bestpay.psas.web.controller.manage.LoginController]
Method [public java.lang.String com.bestpay.psas.web.controller.manage.LoginController.login()]
Resolved arguments:
}
java.lang.IllegalStateException: The mapped controller method class 'com.bestpay.psas.web.controller.manage.LoginController' is not an instance of the actual controller bean class 'com.sun.proxy.$Proxy103'. If the controller requires proxying (e.g. due to @Transactional), please use class-based proxying.
HandlerMethod details:
Controller [com.bestpay.psas.web.controller.manage.LoginController]
Method [public java.lang.String com.bestpay.psas.web.controller.manage.LoginController.login()]
Resolved arguments:

 at org.springframework.web.method.support.InvocableHandlerMethod.assertTargetBean(InvocableHandlerMethod.java:262) ~[spring-web-4.1.9.RELEASE.jar:4.1.9.RELEASE]
 at org.springframework.web.method.support.InvocableHandlerMethod.doInvoke(InvocableHandlerMethod.java:225) ~[spring-web-4.1.9.RELEASE.jar:4.1.9.RELEASE]
 at org.springframework.web.method.support.InvocableHandlerMethod.invokeForRequest(InvocableHandlerMethod.java:137) ~[spring-web-4.1.9.RELEASE.jar:4.1.9.RELEASE]
 at org.springframework.web.servlet.mvc.method.annotation.ServletInvocableHandlerMethod.invokeAndHandle(ServletInvocableHandlerMethod.java:110) ~[spring-webmvc-4.1.9.RELEASE.jar:4.1.9.RELEASE]
 at org.springframework.web.servlet.mvc.method.annotation.RequestMappingHandlerAdapter.invokeHandlerMethod(RequestMappingHandlerAdapter.java:775) ~[spring-webmvc-4.1.9.RELEASE.jar:4.1.9.RELEASE]
 at org.springframework.web.servlet.mvc.method.annotation.RequestMappingHandlerAdapter.handleInternal(RequestMappingHandlerAdapter.java:705) ~[spring-webmvc-4.1.9.RELEASE.jar:4.1.9.RELEASE]
 at org.springframework.web.servlet.mvc.method.AbstractHandlerMethodAdapter.handle(AbstractHandlerMethodAdapter.java:85) ~[spring-webmvc-4.1.9.RELEASE.jar:4.1.9.RELEASE]
 at org.springframework.web.servlet.DispatcherServlet.doDispatch(DispatcherServlet.java:959) [spring-webmvc-4.1.9.RELEASE.jar:4.1.9.RELEASE]
 at org.springframework.web.servlet.DispatcherServlet.doService(DispatcherServlet.java:893) [spring-webmvc-4.1.9.RELEASE.jar:4.1.9.RELEASE]
 at org.springframework.web.servlet.FrameworkServlet.processRequest(FrameworkServlet.java:965) [spring-webmvc-4.1.9.RELEASE.jar:4.1.9.RELEASE]
 at org.springframework.web.servlet.FrameworkServlet.doGet(FrameworkServlet.java:856) [spring-webmvc-4.1.9.RELEASE.jar:4.1.9.RELEASE]
 at javax.servlet.http.HttpServlet.service(HttpServlet.java:735) [servlet-api-3.0.jar:na]
 at org.springframework.web.servlet.FrameworkServlet.service(FrameworkServlet.java:841) [spring-webmvc-4.1.9.RELEASE.jar:4.1.9.RELEASE]
 at javax.servlet.http.HttpServlet.service(HttpServlet.java:848) [servlet-api-3.0.jar:na]
 at org.eclipse.jetty.servlet.ServletHolder.handle(ServletHolder.java:684) [jetty-servlet-8.1.17.v20150415.jar:8.1.17.v20150415]
 at org.eclipse.jetty.servlet.ServletHandler$CachedChain.doFilter(ServletHandler.java:1496) [jetty-servlet-8.1.17.v20150415.jar:8.1.17.v20150415]
 at org.apache.shiro.web.servlet.AbstractShiroFilter.executeChain(AbstractShiroFilter.java:449) [shiro-web-1.2.4.jar:1.2.4]
 at org.apache.shiro.web.servlet.AbstractShiroFilter$1.call(AbstractShiroFilter.java:365) [shiro-web-1.2.4.jar:1.2.4]
 at org.apache.shiro.subject.support.SubjectCallable.doCall(SubjectCallable.java:90) [shiro-core-1.2.4.jar:1.2.4]
 at org.apache.shiro.subject.support.SubjectCallable.call(SubjectCallable.java:83) [shiro-core-1.2.4.jar:1.2.4]
 at org.apache.shiro.subject.support.DelegatingSubject.execute(DelegatingSubject.java:383) [shiro-core-1.2.4.jar:1.2.4]
 at org.apache.shiro.web.servlet.AbstractShiroFilter.doFilterInternal(AbstractShiroFilter.java:362) [shiro-web-1.2.4.jar:1.2.4]
 at org.apache.shiro.web.servlet.OncePerRequestFilter.doFilter(OncePerRequestFilter.java:125) [shiro-web-1.2.4.jar:1.2.4]
 at org.springframework.web.filter.DelegatingFilterProxy.invokeDelegate(DelegatingFilterProxy.java:344) [spring-web-4.1.9.RELEASE.jar:4.1.9.RELEASE]
 at org.springframework.web.filter.DelegatingFilterProxy.doFilter(DelegatingFilterProxy.java:261) [spring-web-4.1.9.RELEASE.jar:4.1.9.RELEASE]

可以在日志中发现几个关键字

  1. org.apache.shiro.web.servlet.AbstractShiroFilter.executeChain
  2. com.sun.proxy.$Proxy103
  3. InvocableHandlerMethod.doInvoke

三个关键字分别说明了

  1. 是Shiro产生了异常，而不是AOP
  2. Shiro尝试去采用了JDK代理
  3. 报错在Invoke方法时

解决方法生效的原因

方法一

因为Shiro也是基于Spring的AOP类的，如果找不到合适的配置，就是默认采用同一个Context下的AOP代理配置，我们给了其proxy-target-class为true，自然就在第二次代理的时候找得到方法

方法二

方法二就更直接了，告诉DefaultAdvisorAutoProxyCreator为True就好

杂想

我以前写过另一个文章，讨论了 SpringMVC和Spring公用的情况下Transactional失效的问题很有可能底层原因也是二次代理

转载于:https://my.oschina.net/u/2372208/blog/1617350

chiduan2014
关注
shiro-aspectj
06-29
<dependency> <groupId>org.apache.shiro</groupId> <artifactId>shiro-aspectj</artifactId> <version>1.3.2</version> </dependency>
Shiro——权限验证框架基本认识
武汉小喽啰
03-08 575
1. 简介 Apache Shiro是一个强大易用的Java安全框架，提供了认证、授权、加密和会话管理等功能： 1）认证（Authentication）：用户身份识别，常被称为用户“登录”，判断用户是否登陆，如果未登陆，则拦截其请求 2）授权（Authorization）：访问控制。当用户登陆后，判断其身份是否有权限访问相应的资源，如果没有权限则拦截 3）密码加密（Cryptography）：保...
Shiro与AspectJ同时使用时的配置
Jafey的博客
08-16 1982
    昨天写了一个自定义注解，因为使用了@Aspect注解来进行注解相关的一些操作，所以在spring 的xml配置文件中添加了配置 &lt;aop:aspectj-autoproxy proxy-target-class="true"/&gt; 这个本来应该没有什么问题的，测试却发现我写的切面类并没有执行，一头雾水的的只能问一下万能的网友了，才知道原来Shiro和AspectJ同时使用的...
shiro源码分析（二）-- 注解实现原理
seasonLai的博客
01-03 1447
shiro的注解实现借助于aspectj框架，先通过一个例子熟悉下aspectj用法 一、小demo 先在pom.xml文件添加相关依赖 &lt;!--aspectj依赖--&gt; &lt;dependency&gt; &lt;groupId&gt;org.aspectj&lt;/groupId&gt; &lt;artifact...
自定义注解日志功能与shrio框架冲突的问题
afei2530的博客
06-20 109
<beans xmlns="http://www.springframework.org/schema/beans" xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance" xmlns:context="http://www.springframework.org/schema/context" xmlns...
spring整合shiro,且使用shiro注解出现代理异常解决方案
李凯伦的博客
01-26 1839
spring整合shiro出现代理异常解决方案 aop部分配置 这里启用了类代理: shiro部分配置 当service层不写接口,只有实现类时,调用后台报错: 给调用的service层加个接口可解决该问题,或者修改shiro配置文件,如下图: ...
ShiroAutoConfiguration加入DefaultAdvisorAutoProxyCreator造成的二次代理
挥起镰刀的博客
05-19 1295
1、描述 某次Debug的时候，发现项目中某个Bean只要使用了AOP代理，就会出现两次代理的情况。 2、测试 首先创建一个测试用的service，并加上使用AOP的注解（Transactional、Async、caching相关的注解都可以) 在上图测试类中： class2代表最终的代理类：TestService$$EnhancerBySpringCGLIB$$5e29e70b class1代表class2的目标类，因为是多次代理，所以目标类还是一个代理类：TestService$$Enh
shirospring源码
01-09
Spring通过其强大的依赖注入（DI）和AOP（面向切面编程）特性，可以轻松地将Shiro的功能整合到应用程序中。Shiro的主要组件包括Subject、SecurityManager、Realms、Caches等，这些组件在Spring环境中可以通过配置...
shiro1.7.1全包修补漏洞.rar
07-18
1. **Shiro-aspectj-1.7.1.jar**: 这个JAR文件是Shiro的AspectJ支持模块，它允许开发者使用AspectJ来实现AOP（面向切面编程）的安全控制。例如，可以定义切面来拦截并处理特定的安全操作，如登录检查或权限验证。 2...
整合shiro所需jar包
10-24
2. aspectjweaver-1.7.1.jar：AspectJ是一个强大的AOP（面向切面编程）框架，可以在不修改原有代码的情况下添加额外的功能，例如日志、事务管理等。 3. druid-0.2.9.jar：Druid是一个优秀的数据库连接池，提供监控...
shiro 1.2.3
09-28
shiro-all-1.2.3.jar shiro-aspectj-1.2.3.jar shiro-cas-1.2.3.jar shiro-core-1.2.3.jar shiro-ehcache-1.2.3.jar shiro-guice-1.2.3.jar shiro-quartz-1.2.3.jar shiro-spring-1.2.3.jar shiro-tools-hasher-1.2.3-cli.jar shiro-web-1.2.3.jar
shiro权限验证依赖包
09-02
6. `spring-context-4.2.5.RELEASE.jar` 和 `spring-core-4.2.5.RELEASE.jar`: 这些是Spring框架的核心组件，允许你使用依赖注入和面向切面编程。Shiro可以与Spring集成，使得安全逻辑可以通过Spring配置来管理。 7...
spring5mvc第三天【大纲笔记】1
08-03
依赖项中包含了Spring的核心模块，如`spring-aop`（面向切面编程支持）、`spring-context`（Spring容器，用于初始化和管理Bean）、`spring-context-support`（提供对邮件服务、定时任务等的支持）以及`spring-web`...
Shiro之与spring整合
积跬步，至千里。
08-04 438
Apache Shiro 快速入门教程之（三）添加依赖web.xml配置shiroFilter自定义realm添加spring-shiro.xml配置文件编写登录方法使用Shiro注解授权一、授权方式1.编程式：2.注解式：3.JSP/GSP 标签：二、配置权限注解支持三、配置无权限异常信息统一处理方式使用Shiro缓存添加依赖spring-shiro.xml添加缓存管理器添加缓存配置文件 ehcache.xmlsecurityManager安全管理器引用缓存管理器清空缓存使用Shiro加密1.添加凭证匹配
记一次springboot集成shiro报错org.apache.shiro.UnavailableSecurityManagerException的坑
Uncle Geroge的博客
12-21 5027
记一次使用shiro报错org.apache.shiro.UnavailableSecurityManagerException的坑         近期做了个小项目，在项目后台使用shiro来做身份验证、权限管理等。shiro这个框架写的真不错，接入简单，功能还算完善，扩展支持的也还行。但是在使用的过程中发现了一个问题，在ajax请求需要校验用户...
springboot+shiro+jwt+redis+cache实现无状态token登录
saienenen的博客
12-11 6548
一，前言 网上关于shiro的整合文章不少，但很多并不适用于前后端分离/移动端的项目 shiro默认的拦截跳转都是跳转url页面，这在前后端分离的项目中显然行不通 shiro默认使用session做登录校验，分离后当然这也是不推荐的 强行使用也可以，但是就必须做其它大量的工作，除了需要解决刚提到的跳转路径问题，其它的如跨域sessionId问题、或需修改为传递sessionId做shiro登录校验，以及集群下session共享问题。emmm，还有session机制本身的安全问题等等。 这显然是费时费力的
shiro 中注入 bean，导致aop 失效
只作为个人备忘录
09-17 921
寻找方式，日志设置<level>TRACE</level>级别，查看失效aspect的bean日志，找到了一句话：2019-09-17 11:36:36,959 [main] INFO o.s.c.s.PostProcessorRegistrationDelegate$BeanPostProcessorChecker - Bean 'sysUserTokenDao' of...
使用springMVC的HandleInterceptor和springAOP的AspectJ请求拦截实现数据验证
小白日记
04-19 1252
基于SpringBoot的资源请求验证（Aspectj和Interceptor两方式实现）附JWT验证token 前言 ​ 在项目中，我们需要对前端请求的资源进行验证，判断是否具有相应的权限。比如某写资源只有在登录之后才有请求权限。本章以请求之前是否登录为权限。 ​ 解决方法就是在请求到达controller之前进行拦截，判断该用户是否登录，如果未登录则直接返回，如果已登录则“放行”，去执行该请求...
Arthas sysenv（查看JVM的环境变量）
最新发布
刘大猫
09-21 389
Arthas sysenv（查看JVM的环境变量）
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值