Shiro知识复习

1.获取subject和SecurityManager

通过静态工厂类SecurityUtils来获取

2.login逻辑

login是通过表单认证FormAuthenticationFilter，对用户名和密码从request中获取，然后封装成Token传入Realm中进行验证，验证通过则不需要处理验证不通过需要处理逻辑，FormAuthenticationFilter会在request域中存放错误信息注意是调用request的getAttribute方法（key:shiroLoginFailure）,logout的逻辑不需要处理，只需要配置

<property name="filterChainDefinitions">
			<value>
				<!-- 对静态资源设置匿名访问 -->
				/images/** = anon
				/js/** = anon
				/styles/** = anon
				<!-- 验证码，可匿名访问 -->
				/validatecode.jsp = anon
				
				<!-- 请求 logout.action地址，shiro去清除session-->
				/logout.action = logout
				<!--商品查询需要商品查询权限 ，取消url拦截配置，使用注解授权方式 -->
				<!-- /items/queryItems.action = perms[item:query]
				/items/editItems.action = perms[item:edit] -->
				<!-- 配置记住我或认证通过可以访问的地址 -->
				/index.jsp  = user
				/first.action = user
				/welcome.jsp = user
				<!-- /** = authc 所有url都必须认证通过才可以访问-->
				/** = authc
				<!-- /** = anon所有url都可以匿名访问 -->
				
			</value>
		</property>

/logout.action = logout

LogoutFilter会处理请求为此action的所有请求然后清除session,默认返回路径为“/”

授权使用PermissionsAuthorizationFilter进行

同样在filterChainDefinaition中设置需要访问的url（或者*url）需要对应什么权限

然后PermissionsAuthorizationFilter调用realm的doGetAuthorizationInfo方法获取数据库的正确权限

PermissionsAuthorizationFilter会将xml中配置的权限（或者注解表示的权限）对比（对比方法不在realm的代码中）

如果权限的验证不成功，可以配置shiroFilter中的unauthorizedUrl进行注册跳转页面

	<bean id="shiroFilter" class="org.apache.shiro.spring.web.ShiroFilterFactoryBean">
		<property name="securityManager" ref="securityManager" />
		<!-- loginUrl认证提交地址，如果没有认证将会请求此地址进行认证，请求此地址将由formAuthenticationFilter进行表单认证 -->
		<property name="loginUrl" value="/login.action" />
		<!-- 认证成功统一跳转到first.action，建议不配置，shiro认证成功自动到上一个请求路径 -->
		<property name="successUrl" value="/first.action"/>
		<!-- 通过unauthorizedUrl指定没有权限操作时跳转页面-->
		<property name="unauthorizedUrl" value="/refuse.jsp" />

配置realm所需要的散列算法，在shiro.xml文件中配置

<!-- realm -->
<bean id="customRealm" class="cn.itcast.ssm.shiro.CustomRealm">
	<!-- 将凭证匹配器设置到realm中，realm按照凭证匹配器的要求进行散列 -->
	<property name="credentialsMatcher" ref="credentialsMatcher"/>
</bean>

<!-- 凭证匹配器 -->
<bean id="credentialsMatcher"
	class="org.apache.shiro.authc.credential.HashedCredentialsMatcher">
	<property name="hashAlgorithmName" value="md5" />
	<property name="hashIterations" value="1" />
</bean>

credentialsMatcher是自定义realm的父类或者父接口的成员变量

使用@requriedPemission权限需要在springmvc.xml中配置AOP代理支持（shiro就是AOP的经典实现）

因为springmvc就是管理controller而我们的shiro@标签就是处理controller的方法，故用之在Spirngmvc.xml

	<!-- 开启aop，对类代理 -->
	<aop:config proxy-target-class="true"></aop:config>
	<!-- 开启shiro注解支持 -->
	<bean
		class="
org.apache.shiro.spring.security.interceptor.AuthorizationAttributeSourceAdvisor">
		<property name="securityManager" ref="securityManager" />
	</bean>

也可以这样配置再用一个统一的异常处理器，simpleMappingExceptionResolver处理异常

	<!-- 支持Shiro对Controller的方法级AOP安全控制 begin-->
	<bean class="org.springframework.aop.framework.autoproxy.DefaultAdvisorAutoProxyCreator" depends-on="lifecycleBeanPostProcessor">
		<property name="proxyTargetClass" value="true" />
	</bean>
	
	<bean class="org.springframework.web.servlet.handler.SimpleMappingExceptionResolver">
		<property name="exceptionMappings">
			<props>
				<prop key="org.apache.shiro.authz.UnauthorizedException">error/403</prop>
				<prop key="java.lang.Throwable">error/500</prop>
			</props>
		</property>
	</bean>

页面中使用shiro标签的requiredPermission只是“”显示不显示“”这个按钮或者输入框等，有权显示无权不显示

授权过程

当调用了controller一个方法，该方法加了requiresPermissions（“”。。“”），shiro会调用realm获取数据库的权限信息，不存在拒绝访问，存在就授权

当展示一个jsp页面时就会，如果某段jsp代码有这个标签，也会调用realm，同上，注意页面上有多少个shiro标签就会调用realm多少次，缓存处理就会很有必要