shiro内置过滤器学习记录

shiro是个认证权限框架，除了登录、退出逻辑我们需要加入项目代码之外，验证用户是否已经登录、是否拥有权限的代码其实都是过滤器来完成的，可以这么说，shiro其实就是一个过滤器链集合。
当运行web应用程序时，Shiro将创建一些有用的默认过滤器实例，并使它们在[main]部分自动可用。您可以像配置任何其他bean一样在main中配置它们，并在链定义中引用它们。

默认筛选器实例由DefaultFilter enum中定义

public enum DefaultFilter {
   

    anon(AnonymousFilter.class),
    authc(FormAuthenticationFilter.class),
    authcBasic(BasicHttpAuthenticationFilter.class),
    logout(LogoutFilter.class),
    noSessionCreation(NoSessionCreationFilter.class),
    perms(PermissionsAuthorizationFilter.class),
    port(PortFilter.class),
    rest(HttpMethodPermissionFilter.class),
    roles(RolesAuthorizationFilter.class),
    ssl(SslFilter.class),
    user(UserFilter.class);

    ...
}

shiro底层提供的过滤器结构

前面的基层过滤器我们先不关注，也不常用，我们主要了解下5、6、7这三层过滤器就可以了

5-AccessControlFilter
访问控制过滤器。继承PathMatchingFilter过滤器，重写onPreHandle方法，又分出了两个抽象方法来控制

isAccessAllowed 是否允许访问（主要用于判断是否登录）
onAccessDenied 是否拒绝访问（用于判断是否登录拒绝）

如果isAccessAllowed方法返回True，则不会再调用onAccessDenied方法，如果isAccessAllowed方法返回Flase,则会继续调用onAccessDenied方法。而onAccessDenied方法里面则是具体执行登陆的地方。由于我们已经登陆，所以此方法就会返回True(filter放行),所以上面的onPreHandle方法里面的onAccessDenied方法就不会被执行。

6-AuthenticationFilter
继承AccessControlFilter，重写了isAccessAllowed方法，通过判断用户是否已经完成登录来判断用户是否允许继续后面的逻辑判断。这里可以看出，从这个过滤器开始，后续的判断会与用户的登录状态相关，直接继承这些过滤器，我们不需要再自己手动去判断用户是否已经登录。并且提供了登录成功之后跳转的方法。

public abstract class AuthenticationFilter extends AccessControlFilter {
   
    public void