springboot shiro 前后分离前端请求302

最新推荐文章于 2024-08-11 16:16:20 发布

墨染秦时

最新推荐文章于 2024-08-11 16:16:20 发布

阅读量3.2k

点赞数

分类专栏： springboot 文章标签： spring boot

本文链接：https://blog.csdn.net/qq_38593903/article/details/100702291

版权

在前后端分离的SpringBoot项目中，跨域导致预检请求（OPTIONS）不包含Shiro的'Authorization'字段，使得验证失败。为解决此问题，可以自定义Shiro的WebSessionManager并重写获取session的方法，在配置类中注册自定义实现。

摘要由CSDN通过智能技术生成

前后端分离项目中，由于跨域，会导致复杂请求，即会发送preflighted request，这样会导致在GET／POST等请求之前会先发一个OPTIONS请求，但OPTIONS请求并不带shiro的’Authorization’字段（shiro的Session），即OPTIONS请求不能通过shiro验证，会返回未认证的信息。
解决方案为继承shiro的DefaultWebSessionManager类重写获取session的方法

public class MySessionManager extends DefaultWebSessionManager {

    private static final String AUTHORIZATION = "Authorization";

    private static final String REFERENCED_SESSION_ID_SOURCE = "Stateless request";

    public MySessionManager() {
        super();
    }

    @Override
    protected Serializable getSessionId(ServletRequest request, ServletResponse response) {
        String id = WebUtils.toHttp(request).getHeader(AUTHORIZATION);
        //如果请求头中有 Authorization 则其值为sessionId
        if (!StrKit.isEmpty(id)) {
            request.setAttribute(ShiroHttpServletRequest.REFERENCED_SESSION_ID_SOURCE, REFERENCED_SESSION_ID_SOURCE);
            request.setAttribute(ShiroHttpServletRequest.REFERENCED_SESSION_ID, id);
            request.setAttribute(ShiroHttpServletRequest.REFERENCED_SESSION_ID_IS_VALID, Boolean.TRUE);
            return id;
        } else {
            //否则按默认规则从cookie取sessionId
            return super.getSessionId(request, response);
        }
    }

}

然后在shiro配置类中将我们自定义的session管理类注册进去

public class ShiroConfiguration {

    @Autowired
    private IResourceService resourceService;


    @Bean("lifecycleBeanPostProcessor")
    public static LifecycleBeanPostProcessor getLifecycleBeanPo