Springboot2 + Shiro + Redis + Jwt 前后端分离整合(3)

继上一篇 Springboot2 + Shiro + Redis + Jwt 前后端分离整合(2)继续补充

码云项目地址 ： Springboot + shiro + redis + jwt + jpa

Shiro权限设置

shiro的权限设置在AuthRealm中doGetAuthorizationInfo设置，具体的设置权限和角色根据自己的业务逻辑设置，我这边只用了权限

    @Override
    protected AuthorizationInfo doGetAuthorizationInfo(PrincipalCollection principalCollection) {
        log.debug("开始执行授权操作.......");

        SimpleAuthorizationInfo authorizationInfo = new SimpleAuthorizationInfo();
        //如果身份认证的时候没有传入User对象，这里只能取到userName
        //也就是SimpleAuthenticationInfo构造的时候第一个参数传递需要User对象
        UserEntity user = (UserEntity) principalCollection.getPrimaryPrincipal();
        Long userId = user.getId();

        //获取权限并设置
        List<PermissionEntity> list = permissionRepsitory.findByUserId(userId);
        if(!list.isEmpty()){
            list.forEach(o ->{
                authorizationInfo.addStringPermission(o.getRoleId().toString());
            });
        }

        return authorizationInfo;
    }

shiro权限注解,根据自己的需要进行使用，可多个一起使用
（1）@RequiresAuthentication ：表示当前Subject已经通过login 进行了身份验证；即Subject. isAuthenticated()返回true
（2）@RequiresUse：表示当前Subject已经身份验证或者通过记住我登录的
（3）@RequiresGuest ：表示当前Subject没有身份验证或通过记住我登录过，即是游客身份
（4）@RequiresRoles：需要相应的角色
（5）@RequiresPermissions：需要相应的权限

项目权限

    //删除用户 必须拥有权限2的用户才能使用该操作
    @PostMapping(value = "/del")
    @RequiresPermissions({"2"})
    public Map<String,String> deleteUser(Long userId){

        Map<String,String> result = new HashMap<>();

        Optional<UserEntity> o = userRepository.findById(userId);
        if(o.isPresent()){
            userRepository.deleteById(userId);
            RedisUtil.del(ShiroConstant.ROLE_SHIRO_CACHE +userId,ShiroConstant.LOGIN_SHIRO_CACHE + userId);
            result.put("code","200");
            result.put("msg","用户删除成功");
        }else{
            result.put("code","400");
            result.put("msg","没有这个用户");
        }

        return result;
    }

可以看处用户1拥有删除用户的权限而用户2没有，所以给出的响应不同且权限异常我们可以用@ControllerAdvice来捕获

Shiro认证时的异常捕获

Shiro的认证其实时一个Filter,在Filter中的异常用@ControllerAdvice是没用的，@ControllerAdvice具体是捕获controller层后的异常无法捕获Filter层的异常，具体我们看下例子吧。

加入GlobalExceptionHandler类用来捕获全局异常

@Slf4j
@ControllerAdvice
@ResponseBody
@Component
public class GlobalExceptionHandler {

    /**
     * @param  ex
     * @Description: 捕获CustomException全局异常
     */
    @ExceptionHandler(CustomException.class)
    public Map<String,String> CustomExceptionHandler(CustomException ex) {
        log.error(ex.getMessage(), ex);
        Map<String,String> result = new HashMap<>();
        result.put("msg",ex.getMessage());
        result.put("code","400");
        return result;
    }

    /**
     * @param  ex
     * @Description: 权限认证异常
     */
    @ExceptionHandler(UnauthorizedException.class)
    @ResponseBody
    public Map<String,String> unauthorizedExceptionHandler(Exception ex) {
        log.error(ex.getMessage(), ex);
        Map<String,String> result = new HashMap<>();
        result.put("msg",ex.getMessage());
        result.put("code","400");
        result.put("obj","权限不够");
        return result;
    }
}

自定义异常CustomException类

public class CustomException extends RuntimeException {

    public CustomException() {
    }

    public CustomException(String message) {
        super(message);
    }

}

发送请求我们看下结果


很明显抛出了CustomException异常但没有捕获到且输出的内容为**“Typical or expected login exceptions should extend from AuthenticationException”,** CustomException异常属于RuntimeException,被重新生成成AuthenticationException异常了

将CustomException继承RuntimeException类后

并没有输出我们想要的格式，可见@ControlllerAdvice没有捕获到异常。

1. 第一种方式是直接捕获异常进行处理
   AuthFilter类加入**customResponse()方法,并修改isAccessAllowed()**方法

	//输出方法
    private void customResponse(String msg,ServletResponse response){
        try {
            Map<String,Object> map = new HashMap<>();
            response.setContentType(MediaType.APPLICATION_JSON_UTF8.toString());
            map.put("code",405);
            map.put("msg",msg);
            String resultJson= JSON.toJSONString(map);
            OutputStream out=response.getOutputStream();
            out.write(resultJson.getBytes());
            out.flush();
        } catch (IOException e) {
            e.printStackTrace();
        }
    }

	//修改捕获到异常的时候直接输出响应并返回false进入onAccessDenied方法
  @Override
    protected boolean isAccessAllowed(ServletRequest request, ServletResponse response, Object mappedValue) {

        AuthToken jwtToken = (AuthToken)this.createToken(request,response);
        if(jwtToken != null){
            String token = jwtToken.getToken();

            try {
                // 提交给realm进行登入，如果错误他会抛出异常并被捕获
                // 如果没有抛出异常则代表登入成功，返回true
                getSubject(request, response).login(jwtToken);
            }catch (AuthenticationException e){
                //获取异常并输出
                this.customResponse(e.getMessage(),response);
                return false;
            }

            //判断是否要更新token
            String refreshToken = this.refreshToken(token);
            if(!StringUtils.isEmpty(refreshToken)){
                log.info("更新token时间！！！！！");
                UserEntity user = (UserEntity) SecurityUtils.getSubject().getPrincipal();
                user.setToken(refreshToken);
                RedisUtil.set(ShiroConstant.LOGIN_SHIRO_CACHE + user.getId(),user);
                HttpServletResponse httpServletResponse = WebUtils.toHttp(response);
                httpServletResponse.setHeader("token", refreshToken);
                httpServletResponse.setHeader("Access-Control-Expose-Headers", "token");
            }
            return true;
        }else{
            this.customResponse("token不能为空", response);
            return false;
        }
    }

测试结果符合预期

2. 继承BasicErrorController
   BasicErrorController是SpringBoot默认的全局错误controller，根据请求的类型来区分调用里面的errorHtml还是error方法，我们是前后端分离的就继承该类并重写他的error的方法就好！
   创建ErrorController类

@RestController
public class ErrorController extends BasicErrorController {

    /**
     * 必须实现的一个构造方法
     **/
    public ErrorController() {
        super(new DefaultErrorAttributes(), new ErrorProperties());
    }

    /**
     * produces 设置返回的数据类型：application/json
     * @param request 请求
     * @return 自定义的返回实体类
     */
    @Override
    @RequestMapping(produces = {MediaType.APPLICATION_JSON_VALUE})
    public ResponseEntity<Map<String, Object>> error(HttpServletRequest request) {
        Map<String, Object> body = getErrorAttributes(request, isIncludeStackTrace(request, MediaType.ALL));
        HttpStatus status = getStatus(request);
        // 获取错误信息
        String message = body.get("message").toString();
        return new ResponseEntity<>(new ResultMap(400,message), status);
    }
}

//该类用于ResponseEntity回参设置
class ResultMap extends HashMap<String, Object> {

    /**
     * 状态码
     */
    private String status;
    /**
     * 返回内容
     */
    private String message;

    public ResultMap() {
    }

    /**
     * 初始化一个新创建的 Result 对象
     * @param status
     * @param message
     */
    public ResultMap(Integer status, Object message) {
        this.put("status", status);
        this.put("message", message);
    }
}

测试结果为我们想要的