Shiro 自己实现登录后重新生成sessionid

最新推荐文章于 2023-03-10 15:16:54 发布

开心的D哥

最新推荐文章于 2023-03-10 15:16:54 发布

阅读量2.2w

点赞数 3

分类专栏： jsesion Java Java Web shiro 文章标签： Shiro jsession fixation

本文链接：https://blog.csdn.net/cloud_ll/article/details/43604547

版权

本文介绍了在Shiro安全框架中遇到的登录后不生成新Jessionid的问题，该问题可能导致Session Fixation。虽然Shiro计划在1.3版本修复，但目前可以仿照Spring Security手动实现session的更新。通过继承AuthenticatingFilter并覆盖executeLogin方法，可以在用户登录后复制session数据到新的session，从而避免Session Fixation风险。

摘要由CSDN通过智能技术生成

Shiro Security是非常不错的Security框架，我们系统在使用过程中发现Shiro在登录之后不会生成新的Jessionid。这显然会出现Session_Fixation。Shiro自己说会在下一个版本1.3 fix这个问题，在这之前只能学Spring Security来实现重新生成Session。其实简单就是在登陆之后把session数据复制一份到新的session。

Shiro中要做到这一点可以通过实现可以通过继承org.apache.shiro.web.filter.authc.AuthenticatingFilter （一般是继承AuthenticatingFilter的子类FormAuthenticationFilter），重写executeLogin方法就可以了。

 protected boolean executeLogin(ServletRequest request, ServletResponse response) throws Exception {
        AuthenticationToken token = createToken(request, response);
        if (token == null) {
            String msg = "createToken method implementation returned null. A valid non-null AuthenticationToken "</