SSM下Shiro的自定义JWT实现

SSM下Shiro的自定义JWT实现

前言

随着大部分的验证改为Token验证方式，那能否改写Shiro的验证方式，实现自己定义的角色授权和请求拦截呢？

JWT实现产生和使用方式见上一篇

以下内容基于自己搭的SSM实现，不同方式搭建的可能有些不一样，提供思路用

1.配置Shiro

这里由于要实现自己的验证方式，和平时的配置有点不一样

按照惯例，导入Maven依赖

<!--shiro与jwt权限管理-->
        <dependency>
            <groupId>org.apache.shiro</groupId>
            <artifactId>shiro-spring</artifactId>
            <version>1.4.0</version>
        </dependency>
        <dependency>
            <groupId>com.auth0</groupId>
            <artifactId>java-jwt</artifactId>
            <version>3.4.1</version>
        </dependency>

在资源目录新建配置文件applicationContext-shiro.xml，内容如下，详情看注释

有几点需要注意

• 配置自己的filter拦截器，处理拦截逻辑
• 禁用会话管理器
• 配置自己的realm权限逻辑

<?xml version="1.0" encoding="UTF-8"?>
<beans xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance"
       xmlns="http://www.springframework.org/schema/beans"
       xsi:schemaLocation="http://www.springframework.org/schema/beans
    http://www.springframework.org/schema/beans/spring-beans-4.0.xsd ">

    <!-- 配置shiro的过滤器工厂类，id- shiroFilter要和我们在web.xml中配置的过滤器一致 -->
    <bean id="shiroFilter" class="org.apache.shiro.spring.web.ShiroFilterFactoryBean">
        <!-- 调用我们配置的权限管理器 -->
        <property name="securityManager" ref="securityManager" />
        <!-- 配置我们的登录请求地址 -->
        <property name="loginUrl" value="/api/login" />
        <!-- 如果您请求的资源不再您的权限范围，则跳转请求地址-->
        <property name="unauthorizedUrl" value="/Error/**" />
        <!--重要-->
        <!-- 自定义filter既自己的拦截器 -->
        <property name="filters">
            <map>
                <entry key="authc">
                    <bean class="com.BookKeeping.common.JwtFilter"></bean>
                </entry>
            </map>
        </property>
        <!-- 权限配置 -->
        <property name="filterChainDefinitions">
            <value>
                <!-- anon表示此地址不需要任何权限即可访问,authc需要验证 -->
                /api/login=anon
                /Error/**=anon
                /notoken=anon
                /unauthorized=anon
                /api/getOpenId=authc
                /doLogout=logout
                <!--所有的请求(除去配置的静态资源请求或请求地址为anon的请求)都要通过登录验证,如果未登录则跳到/login -->
                /** = authc
            </value>
        </property>
    </bean>
    <!-- 禁用掉会话调度器,使用自己的JWT -->
    <bean id="sessionManager" class="org.apache.shiro.session.mgt.DefaultSessionManager">
        <property name="sessionValidationSchedulerEnabled" value="false"/>
    </bean>
    <!--解决报错，组装默认的subjectDAO-->
    <bean id="subjectDAO" class="org.apache.shiro.mgt.DefaultSubjectDAO">
        <property name="sessionStorageEvaluator" ref="sessionStorageEvaluator"/>
    </bean>
    <bean id="sessionStorageEvaluator" class="org.apache.shiro.mgt.DefaultSessionStorageEvaluator">
        <property <