基于shiro框架实现自动登录(rememberMe)

最新推荐文章于 2024-09-23 19:56:55 发布
最新推荐文章于 2024-09-23 19:56:55 发布
阅读量903 收藏 4
点赞数
文章标签： java
原文链接：https://segmentfault.com/a/1190000012800154
版权

shirorememberMe流程原理研究

  • 输入用户密码正儿八经登录时, 如果勾选了"记住我", 则后台给shiro设置rememberme

image.png

  • 前一次登录勾选了记住我, 则本次登录时isRemembered()==true(如果上一次设置了rememberme, 本次登录是不会触发action中的login()的方法的, 即会直接进入登录状态. 这里为了演示, 强行进入login()方法).
  • 经过shiro的login()则表示为认证登录的. 就是说authentication==true. 访问权限最高.
  • rememberMe==true, 则将不会进入任何action. 可以访问所有user控制的页面或路径. 但不能访问authc控制的.

image.png

但是authentication=false. 这里有个关键点:

subject.isAuthenticated()==true，
则subject.isRemembered()==false；
反之一样

下图所示, authentication=false, 并且能够principle不为空, 能够获取用户信息.
image.png

关于过滤器规则设置

另外对于过滤器，一般这样使用：

  • 访问一般网页，如个人在主页之类的，我们使用user拦截器即可，user拦截器只要用户登录(isRemembered()==true or isAuthenticated()==true)通过即可访问成功；
  • 访问特殊网页，如我的订单，提交订单页面，我们使用authc拦截器即可，authc拦截器会判断用户是否是通过Subject.login（isAuthenticated()==true）登录的，如果是才放行，否则会跳转到登录页面叫你重新登录。

拦截规则

关于rememberMe的cookie

  • shiro自动对用户对象序列化并加密. 当获得请求时, 能够获取反序列化且解密之后的用户对象。
  • 当设置rememberMe==false, 将会自动清空rememberMe cookie.

如下图, 在设置rememberMe==false的前提下, 之前的rememberMe cookie已经不见了.
注: username和password cookie是之前我自己设置的

rememberMe cookie

项目重启后(排除缓存影响). 强行访问action, 能够获取user对象.
image.png

不想要自动登录怎么办?

调用shiro的logout()方法, 即消除自动登录功能.

rememberMe功能实现

简单实现

  1. 引入shiro框架

引入maven坐标.

   <!-- 权限控制 框架 -->
        <dependency>
            <groupId>org.apache.shiro</groupId>
            <artifactId>shiro-all</artifactId>
            <version>${shiro.version}</version>
        </dependency>
  1. 配置spring
<!--~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
          shiro框架相关
      -->
    <!--配置shiro的过滤器工厂bean-->
    <bean id="shiroFilter" class="org.apache.shiro.spring.web.ShiroFilterFactoryBean">
        <!--注入安全管理器-->
        <property name="securityManager" ref="securityManager"/>
        <!--注入相关页面访问url-->
        <property name="loginUrl" value="/login.jsp"/>
        <property name="successUrl" value="/index.jsp"/>
        <property name="unauthorizedUrl" value="/unauthorized.jsp"/>

        <!--注入url拦截规则-->
        <property name="filterChainDefinitions">
            <value>
                /css/**=anon
                /js/**=anon
                /images/**=anon
                /validatecode.jsp*=anon
                /userAction_login.action=anon
                /customerAction_login.action=anon
                /info.jsp*=anon
                /courierAction_pageQuery*=perms["courier:list"]
                /pages/base/courier.jsp*=perms["courier:list"]
                /** = user
                /pay/** = authc

            </value>
        </property>
    </bean>
    <!--注册安全管理对象-->
    <bean id="securityManager" class="org.apache.shiro.web.mgt.DefaultWebSecurityManager">
        <property name="realm" ref="userRealm"/>
        <!--注入缓存管理器-->
        <property name="cacheManager" ref="cacheManager"/>
    </bean>
    <!--自定义realm-->
    <bean id="userRealm" class="com.sykd.bos.service.system.realm.UserRealm"></bean>

 

    <!--注册缓存管理器: 这里用ehcache插件(已被shiro集成)-->
    <bean id="cacheManager" class="org.apache.shiro.cache.ehcache.EhCacheManager">
        <!--指定ehcache配置文件-->
        <property name="cacheManagerConfigFile" value="classpath:ehcache.xml"/>
    </bean>
  1. 实现上文配置文件中realm 
public class UserRealm extends AuthorizingRealm {

    @Autowired
    private UserDao userDao;
    @Autowired
    private PermissionDao permissionDao;


    @Override
    protected AuthenticationInfo doGetAuthenticationInfo(AuthenticationToken authenticationToken) throws AuthenticationException {
        UsernamePasswordToken token = (UsernamePasswordToken) authenticationToken;
        // !这里的username可能并不是真正的username, 可能是手机号或者其他可以作为登录凭证的字段!
        String username = token.getUsername();

        User u = userDao.findByUsernameOrTelephone(username, username);
        if (u == null) {
            return null;
        }
        AuthenticationInfo info = new SimpleAuthenticationInfo(u, u.getPassword(), this.getName());
        return info;
    }

    @Override
    protected AuthorizationInfo doGetAuthorizationInfo(PrincipalCollection principalCollection) {

        //获取当前用户
        User user = (User) principalCollection.getPrimaryPrincipal();
        //内置用户:授予所有权限
        List<Permission> permissions = null;
        if (user != null && user.getUsername().equals("admin")) {
            permissions = permissionDao.findAll();
        } else { // 其他普通用户:查出该用户对应的所有权限
            permissions = permissionDao.findByUserId(user.getId());
        }

        // 授权
        SimpleAuthorizationInfo info = new SimpleAuthorizationInfo();
        for (Permission p : permissions) {
            info.addStringPermission(p.getKeyword());
        }


        return info;
    }
}
  1. 登录action 
   @Action(value = "userAction_login")
    public String login() throws UnsupportedEncodingException {
        Log.begin();
        String validateCode_ser = (String) ServletActionContext.getRequest().getSession().getAttribute("validateCode");
        Subject subject;
        if (StringUtils.isNotBlank(this.validateCode) && this.validateCode.equals(validateCode_ser)) {

            subject = SecurityUtils.getSubject();

            // 不论用户输入的是用户名还是手机号, 前台标签统一用username接收
            UsernamePasswordToken token = new UsernamePasswordToken(user.getUsername(), user.getPassword());
            //[[ADD 2018-1-9 14:44:01
            // 设置是否'记住我'
            rememberme = rememberme == null ? false : rememberme;   //null=>false
            token.setRememberMe(rememberme);
            // ]]

            try {
                subject.login(token);
                if (rememberme)
                    LOG.info("用户【{}】自动登录----{}", "天王", String.valueOf(System.currentTimeMillis()));
            } catch (AuthenticationException e) {
                e.printStackTrace();
                return LOGIN;
            }
        } else {
            this.addActionError("输入的验证码有误!");
            return ERROR;
        }//end if

        return "home";
    }

注意: 默认cookie会保存一年. 这个有点太长了, 通常需要缩短.

自定义cookie, 并指定寿命

主要是spring配置的区别, 需要: 1. 配置自定义cookie; 2. 注入给rememberMeManager; 3. 将rememberMeManager注入给securityManager.

 <!--~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
          shiro框架相关
      -->
    <!--配置shiro的过滤器工厂bean-->
    <bean id="shiroFilter" class="org.apache.shiro.spring.web.ShiroFilterFactoryBean">
        <!--注入安全管理器-->
        <property name="securityManager" ref="securityManager"/>
        <!--注入相关页面访问url-->
        <property name="loginUrl" value="/login.jsp"/>
        <property name="successUrl" value="/index.jsp"/>
        <property name="unauthorizedUrl" value="/unauthorized.jsp"/>

        <!--注入url拦截规则-->
        <property name="filterChainDefinitions">
            <value>
                /css/**=anon
                /js/**=anon
                /images/**=anon
                /validatecode.jsp*=anon
                /userAction_login.action=anon
                /customerAction_login.action=anon
                /info.jsp*=anon
                /courierAction_pageQuery*=perms["courier:list"]
                /pages/base/courier.jsp*=perms["courier:list"]
                /** = user
                /pay/** = authc

            </value>
        </property>
    </bean>
    <!--注册安全管理对象-->
    <bean id="securityManager" class="org.apache.shiro.web.mgt.DefaultWebSecurityManager">
        <property name="realm" ref="userRealm"/>
        <!--注入缓存管理器-->
        <property name="cacheManager" ref="cacheManager"/>
        <!--注入rememberMe cookie管理器-->
        <property name="rememberMeManager" ref="rememberMeManager"/>
    </bean>
    <bean id="userRealm" class="com.sykd.bos.service.system.realm.UserRealm"></bean>

    <!--手动指定cookie-->
    <bean id="rememberMeCookie" class="org.apache.shiro.web.servlet.SimpleCookie">
        <constructor-arg value="rememberMe"/>
        <property name="httpOnly" value="true"/>
        <property name="maxAge" value="604800"/><!-- 7天 -->
    </bean>

    <!-- rememberMe管理器 -->
    <bean id="rememberMeManager"
          class="org.apache.shiro.web.mgt.CookieRememberMeManager">
        <!--注入自定义cookie(主要是设置寿命, 默认的一年太长)-->
        <property name="cookie" ref="rememberMeCookie"/>
    </bean>

    <!--注册缓存管理器: 这里用ehcache插件(已被shiro集成)-->
    <bean id="cacheManager" class="org.apache.shiro.cache.ehcache.EhCacheManager">
        <!--指定ehcache配置文件-->
        <property name="cacheManagerConfigFile" value="classpath:ehcache.xml"/>
    </bean>

复杂实现

这种方式需要在spring中配置很多参数. 很繁琐. 但是功能齐全. 如果只想实现简单的自动功能, 可以参照简单实现.
本部分spring配置可参见: 第十三章 RememberMe——《跟我学Shiro》

参考资料:
[1] http://jinnianshilongnian.ite...
[2] http://blog.icoolxue.com/shir...
[3] http://blog.csdn.net/lhacker/...

weixin_34405925
关注
spring集成shiro实现权限认证和自动登录
KGLegolas的博客
05-31 975
个站链接：http://www.legolas94.top/article/get/1003 首先在登录入口类中得到shiro的Subject然后调用 UsernamePasswordToken token = new UsernamePasswordToken(phone, password); 创建用户名/密码身份验证Token。然后调用subject.login(token)；此时Secur...
Spring Boot系列(十五) 安全框架Apache Shiro（三）RememberMe
热门推荐
xtiawxf的专栏
09-22 1万+
Shiro提供了记住我（RememberMe）的功能，比如访问如淘宝等一些网站时，关闭了浏览器下次再打开时还是能记住你是谁，下次访问时无需再登录即可访问，基本流程如下： 首先在登录页面选中RememberMe然后登录成功；如果是浏览器登录，一般会把RememberMe的Cookie写到客户端并保存下来； 关闭浏览器再重新打开；会发现浏览器还是记住你的； 访问一般的网页服务器端还是知道你是谁，且能正常
Shiro自动登录
amoscxy的博客
09-20 602
文章目录Shiro自动登录 Shiro自动登录 spring-shiro.xml &amp;lt;!-- 自动登录 --&amp;gt; &amp;lt;bean class=&quot;org.apache.shiro.web.mgt.CookieRememberMeManager&quot; id=&quot;cookieRememberMeManager&quot;&amp;gt; &amp;lt;propert
Shiro rememberMe反序列化漏洞（Shiro-550） 靶场攻略
最新发布
2301_81881972的博客
09-23 385
使⽤BurpSuite进⾏抓包，在请求包中的cookie字段中添加 rememberMe=123;，看响应包header中是否返回 rememberMe=deleteMe 值，若有，则证明该系统使⽤了Shiro框架。Apache Shiro框架提供了记住密码的功能（RememberMe），⽤户登录成功后会⽣成经过。命令=>序列化=>AES加密=>base64编码=>RememberMe Cookie值。在整个漏洞利⽤过程中，⽐较重要的是AES加密的密钥，如果没有修改默认的密钥那么就很。
在shiro中控制自动登录
mayi92的博客
09-05 1816
场景一：集群中各节点登录状态保持一致，当然这个集群没有统一的认证中心 场景二：微信环境微店项目，自动登录，进入微店，则判断用户是否注册，如果已经注册则自动登录否则跳转到注册页面（ps：需要用户关注公众号才可以注册）这儿针对场景二开展 在shiro中自定义过滤器authcUser和tryLogin authcUser 只有登录才可以访问当前路径，没有登录则尝试自动登录，登录失败跳转到注册logi
Shiro实现用户自动登录
menghuannvxia的专栏
05-29 3378
用户的自动登录功能，顾名思义就是当用户在网站登录后，关闭了浏览器或者服务器重启了在下一次用户访问该网站时能自动将上次用户的登录信息取出来并立即登录，而不再需要用户去做登录操作。  在我做的一个视频教程网站（http://www.icoolxue.com，一个高清视频教程在线观看的网站）上加入了此功能。  Shiro是一个强大的安全框架，它提供了一个叫Remeber Me的功能来实现
跟我学Shiro第13章Demo（RememberMe）
09-23
1. **RememberMe服务**：RememberMe服务是Shiro提供的一个组件，用于在用户登录时记住他们的身份，以便在未来访问时自动恢复登录状态。这个服务依赖于特定的RememberMe Manager，如基于Cookie的实现。 2. **...
SSM整合系列之 基于Shiro框架实现自动登录（RememberMe）
程序猿的博客
12-01 2746
Shiro框架提供了记住我（RememerMe）的功能，比如我们访问一些网站，关闭了浏览器，下次再打开是还是能记住你是谁，下次访问的时候无需登录即可访问，本文将实现记住我的功能
Shiro框架详解
qq_39756007的博客
02-21 855
Shiro 可以非常容易的开发出足够好的应用，其不仅可以用在 JavaSE 环境，也可以用在 JavaEE 环境。Shiro 可以帮助我们完成：认证、授权、加密、会话管理、与 Web 集成、缓存等。记住一点，Shiro 不会去维护用户、维护权限；这些需要我们自己去设计 / 提供；然后通过相应的接口注入给 Shiro 即可。
基于Shiro框架的登录功能
程序员小火龙的知识分享
07-21 1074
Apache Shiro是一个Java安全框架，它提供了一套易于使用的API，用于身份验证、授权、加密和会话管理等安全操作。Shiro框架的主要目标是提供易于使用的安全功能，同时保持灵活性和可扩展性。
我的shiro之旅: 十四 shiro 自动登录
LzwGlory的专栏
09-22 2082
shiro有几种状态，其中包括guest,user,authenticated。guest就是游客，authenticated就是认证后的用户，而user是介于两者之前。user并不代表用户已经成功认证，当用户上次登录时选择rememberMe，下次用户再访问时就是user状态。登录时选择rememberMe，shiro会通过一种加密方式将principal(我们理解为用户名)加密保存到cooki
Shiro 自动登录，通过 Shiro Remember Me 实现自动登录
weixin_34216107的博客
10-05 161
2019独角兽企业重金招聘Python工程师标准>>> ...
十、Shiro自动登录
panchang199266的博客
09-11 1014
（一）相关配置 &lt;!--配置securityManager，注意在Spring中使用的是DefaultWebSecurityManager，在非web环境下，使用DefaultSecurityManager--&gt; &lt;bean id="securityManager" class="org.apache.shiro.web.mgt.DefaultWebSecurity...
Shiro的Remember Me
有志青年
09-02 2111
Shiro提供了Remember服务，AuthenticationToken需要实现org.apache.shiro.authc.RememberMeAuthenticationToken接口（UsernamePasswordtoken已经提供了这个接口）。 这个接口提供了一个方法 ： boolean isRememberMe(); 如果这个方法设置为true，Shiro 将会在整个会话
shiro框架学习心得
06-27
2. **Remember Me** 功能：Shiro 提供了一键登录（Remember Me）的功能，可以在用户勾选后，下次访问时自动登录。 3. **Session 管理**：Shiro 的Session管理可以与应用程序的Session协同工作，也可以独立管理，...
Shiro实现单一登录，并保留使用RememberMe功能。
sihan2018的博客
03-05 1173
单一登录：同一个账户同一时间只能在一个地方登录。 项目Spring+SpringMVC+Mybatis，引入了Shiro作认证授权。公司要求实现一个单一登录功能，大部分人做法都是在自定义实现Realm的doGetAuthenticationInfo里面做session过滤和删除，这在没有启用Shiro的rememberMe功能是可以生效的，但是启用了rememberMe功能后，会发现session...
Shiro记住我（RememberMe）
Hern（宋兆恒）
12-17 6202
简介 Shiro 提供了记住我（RememberMe）的功能，比如访问如淘宝 等一些网站时，关闭了浏览器，下次再打开时还是能记住你是谁， 下次访问时无需再登录即可访问，基本流程如下： • 登录页面选中RememberMe然后登录成功；如果是浏览器登录，一般会把RememberMe 的Cookie写到客户端并保存下来； 关闭浏览器再重新打开；会发现浏览器还是记住你的； 访问一般的网页服务器端...
Shiro的rememberMe功能
weixin_65824274的博客
07-05 1801
当登录后是可以正常访问/man的主页的，如果使用了记住我功能，会在浏览器写入cookie，关掉浏览器不需要登录即可直接访问/main.Shiro 提供了记住我(RememerMe)的功能，比如访问一些网站时，关闭了浏览器，下次再打开时还是能记住你是谁，下次访问时无需再登录即可访问。4.但是，如果我们访问电商平台时，如果要查看我的订单或进行支付时，此时还 是需要再进行身份认证的，以确保当前用户还是你。2.登录时不勾选记住我，关闭浏览器访问主页/main还会拦截到登录页；1.配置记住我功能的cookie设置;
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值