自定义shiro过滤器没有Set Cookie问题。

深蓝浅蓝的天

已于 2022-02-16 18:42:48 修改

阅读量1k

点赞数

分类专栏： java 文章标签： shiro session shiro cookie shiro filter

于 2022-02-16 18:39:07 首次发布

本文链接：https://blog.csdn.net/wang124454731/article/details/122969687

版权

java 专栏收录该内容

19 篇文章 0 订阅

订阅专栏

本文详细介绍了在使用Shiro自定义过滤器处理Ajax请求时遇到的SetCookie问题，即非登录用户在响应时缺少SetCookie，导致sessionId不断变化，前端无法获取JSESSIONID。通过对比Shiro的源码，发现在返回false之前缺少了saveRequest(request)操作，补充这一操作后解决了问题。此问题的关键在于理解Shiro的Session管理和过滤器流程。

摘要由CSDN通过智能技术生成

自定义shiro过滤器没有Set Cookie问题。

比如我们通常会针对ajax的请求，返回json数据，一般的实现大概是这样。

public class MyUserFilter extends UserFilter {

    @Override
    protected boolean onAccessDenied(ServletRequest servletRequest, ServletResponse servletResponse) throws Exception {
        HttpServletRequest request = (HttpServletRequest) servletRequest;
        HttpServletResponse response = (HttpServletResponse) servletResponse;
        String requestedWith = request.getHeader("X-Requested-With");
        Subject subject = SecurityUtils.getSubject();
        if (!subject.isRemembered() && !subject.isAuthenticated() && StringUtils.isNotEmpty(requestedWith)
                && StringUtils.equals(requestedWith, "XMLHttpRequest")) {//如果是ajax返回指定数据
            response.setContentType("application/json");
            response.setCharacterEncoding("UTF-8");
            response.getWriter().write(JSONObject.toJSONString(ResultBean.noLogin("请先登录")));
            return false;
        } else {//不是ajax进行重定向处理
            return super.onAccessDenied(request, response);
        }

    }
    
}

这个基本满足了ajax请求的拦截后返回json的需求，但是引起了一个非常怪的问题，非登录用户，网站在响应的时候没有Set Cookie的动作（清理缓存后，这个问题百分百重现），也就是在后台会产生这样一个问题：每次非登录用户的sessionId一直在变，前端的请求没有相应的JSESSIONID(自定义的名称)。

先上解决方法，在return false之前执行`saveRequest(request)`，即：

if (!subject.isRemembered() && !subject.isAuthenticated() && StringUtils.isNotEmpty(requestedWith)
    && StringUtils.equals(requestedWith, "XMLHttpRequest")) {//如果是ajax返回指定数据
  // 省略，同上
  super.saveRequest(request);
  return false;
} else {//不是ajax进行重定向处理
  return super.onAccessDenied(request, response);
}

解决过程：

我反复找原因，反复对比，发现问题就是出在自定义的过滤器这里。

网上找了一大圈，竟然都没有相关的回答，我只能去参考shiro的UserFilter，查看了AccessControlFilter中的

protected void saveRequestAndRedirectToLogin(ServletRequest request, ServletResponse response) throws IOException {
  saveRequest(request);
  redirectToLogin(request, response);
}

发现它是有一个saveRequest操作，代码如下：

public static void saveRequest(ServletRequest request) {
  Subject subject = SecurityUtils.getSubject();
  Session session = subject.getSession();
  HttpServletRequest httpRequest = toHttp(request);
  SavedRequest savedRequest = new SavedRequest(httpRequest);
  session.setAttribute(SAVED_REQUEST_KEY, savedRequest);
}