springboot shiro 实现token

要求

做前端端分离的项目时前端要求用token，在登入的返回集里面。前端请求是将token放在请求头里。同时要求同一时间同一用户只能有一个有效会话。

实现步骤

有一些代码是在其他人的博客里面复制的
在原来的使用sessionId的项目基础上做以下修改：

1. 增加SessionManager要求继承DefaultWebSessionManager。

   package com.llx.studio.config.shiro;

   import org.apache.commons.lang.StringUtils;
   import org.apache.shiro.web.servlet.ShiroHttpServletRequest;
   import org.apache.shiro.web.session.mgt.DefaultWebSessionManager;
   import org.apache.shiro.web.util.WebUtils;

   import javax.servlet.ServletRequest;
   import javax.servlet.ServletResponse;
   import java.io.Serializable;

   public class ShiroSessionManager extends DefaultWebSessionManager {

   private static final String AUTHORIZATION = "authToken";
   
   private static final String REFERENCED_SESSION_ID_SOURCE = "Stateless request";
   
   public ShiroSessionManager(){
       super();
   }
   
   @Override
   protected Serializable getSessionId(ServletRequest request, ServletResponse response){
       String id = WebUtils.toHttp(request).getHeader(AUTHORIZATION);
       if(StringUtils.isEmpty(id)){
           //如果没有携带id参数则按照父类的方式在cookie进行获取
   
           return super.getSessionId(request, response);
       }else{
           //如果请求头中有 authToken 则其值为sessionId
           request.setAttribute(ShiroHttpServletRequest.REFERENCED_SESSION_ID_SOURCE,REFERENCED_SESSION_ID_SOURCE);
           request.setAttribute(ShiroHttpServletRequest.REFERENCED_SESSION_ID,id);
           request.setAttribute(ShiroHttpServletRequest.REFERENCED_SESSION_ID_IS_VALID,Boolean.TRUE);
           return id;
       }
   }
   

   }

2. 在ShiroConfiguration 配置文件里面添加以下内容

   /**
   * 自定义sessionManager
   * @return
   */
   @Bean
   public SessionManager sessionManager(){
   ShiroSessionManager shiroSessionManager = new ShiroSessionManager();
   //这里可以不设置。Shiro有默认的session管理。如果缓存为Redis则需改用Redis的管理
   shiroSessionManager.setSessionDAO(sessionDAO());
   return shiroSessionManager;
   }

   @Bean
   public SessionDAO sessionDAO() {
       return new MemorySessionDAO();//使用默认的MemorySessionDAO
   }
   

3 在继承AuthorizingRealm的自定义Realm 里添加以下内容

使用spring容器获取sessionDAO 主要是用来获取所有会话（getActiveSessions）的

    @Autowired
    private SessionDAO sessionDAO;

doGetAuthenticationInfo方法下

//获取所有session
        Collection<Session> activeSessions = sessionDAO.getActiveSessions();
        //判断用户是否与登入
        for (Session s : activeSessions){
            JSONObject attribute = (JSONObject)s.getAttribute(Constants.SESSION_USER_INFO);
            //如果有登入，则销毁session
            if (attribute.getString("userName").equals(loginName)) s.stop();
        }

4. 登入成功后直接获取SessionID，并放到body里面

   		currentUser.login(token);
   		Serializable id = currentUser.getSession().getId();
   		info.put("token", id);
   

缺点

他还是会设置cookie，我不知道怎么让shiro不是向cookie里面设置值，改成在body里面，所有我现在了同时都设置。有知道的小伙伴可以告诉我，谢谢观看！