第七章与Web集成（三） WEB INI配置

最新推荐文章于 2023-04-21 16:00:54 发布

Testdddddddddddddddd

最新推荐文章于 2023-04-21 16:00:54 发布

阅读量754

点赞数

本文链接：https://blog.csdn.net/yifanSJ/article/details/77689211

版权

我学本章的时候做的一个Demo，可借鉴参考下。

shiro 第七章完整Demo

ini配置部分和之前的相比将多出对url部分的配置。

[main]
#默认是/login.jsp
authc.loginUrl=/login
roles.unauthorizedUrl=/unauthorized
perms.unauthorizedUrl=/unauthorized
[users]
zhang=123,admin
wang=123
[roles]
admin=user:*,menu:*
[urls]
/login=anon
/unauthorized=anon
/static/**=anon
/authenticated=authc
/role=authc,roles[admin]
/permission=authc,perms["user:create"]

其中最重要的就是[urls]部分的配置，其格式是： “url=拦截器[参数]，拦截器[参数]”；即如果当前请求的url匹配[urls]部分的某个url模式，将会执行其配置的拦截器。比如：

anon拦截器表示匿名访问（即不需要登录即可访问）；

authc拦截器表示需要身份认证通过后才能访问；

roles[admin]拦截器表示需要有admin 角色授权才能访问；

perms["user:create"]拦截器表示需要有“user:create”权限才能访问。

url模式使用Ant风格模式

Ant路径通配符支持?、*、**，注意通配符匹配不包括目录分隔符“/”：

?：匹配一个字符，如”/admin?”将匹配/admin1，但不匹配/admin 或/admin2；

*：匹配零个或多个字符串，如/admin*将匹配/admin、/admin123，但不匹配/admin/1；

**：匹配路径中的零个或多个路径，如/admin/**将匹配/admin/a或/admin/a/b。

url模式匹配顺序

url 模式匹配顺序是按照在配置中的声明顺序匹配，即从头开始使用第一个匹配的url 模式对应的拦截器链。如：

/bb/**=filter1
/bb/aa=filter2
/**=filter3

如果请求的url是“/bb/aa”，因为按照声明顺序进行匹配，那么将使用filter1进行拦截。

拦截器将在下一节详细介绍。接着我们来看看身份验证、授权及退出在web中如何实现。

一、身份验证（登录）

0. web.xml

<listener>
    <listener-class>org.apache.shiro.web.env.EnvironmentLoaderListener</listener-class>
</listener>
<context-param>
    <param-name>shiroEnvironmentClass</param-name>
    <param-value>org.apache.shiro.web.env.IniWebEnvironment</param-value><!-- 默认先从/WEB-INF/shiro.ini，如果没有找classpath:shiro.ini -->
</context-param>
<context-param>
    <param-name>shiroConfigLocations</param-name>
    <param-value>classpath:shiro.ini</param-value>
</context-param>
<!-- ShiroFilter类似 于Spring MVC框架的前端 控制器，其是安全控制的入口点，其负责读取配置（如ini配置文件），然后判断URL是否需要登录 /权限等工作 -->
<filter>
    <filter-name>shiroFilter</filter-name>
    <filter-class>org.apache.shiro.web.servlet.ShiroFilter</filter-class>
</filter>
<filter-mapping>
    <filter-name>shiroFilter</filter-name>
    <url-pattern>/*</url-pattern>
</filter-mapping>

1. 首先配置需要身份验证的url

/authenticated=authc
/role=authc,roles[admin]
/permission=authc,perms["user:create"]

即访问这些地址时会首先判断用户有没有登录，如果没有登录默会跳转到登录页面，默认是/login.jsp，可以通过在[main]部分通过如下配置修改：

authc.loginUrl=/login

完整如下：

[main]
#默认是/login.jsp
authc.loginUrl=/login
roles.unauthorizedUrl=/unauthorized
perms.unauthorizedUrl=/unauthorized

logout.redirectUrl=/login

[users]
zhang=123,admin
wang=123

[roles]
admin=user:*,menu:*

[urls]
/logout2=logout
/login=anon
/logout=anon
/unauthorized=anon
/static/**=anon
/authenticated=authc
/role=authc,roles[admin]
/permission=authc,perms["user:create"]

2. 登录Servlet

@WebServlet(name="loginServlet",urlPatterns="/login")
public class LoginServlet extends HttpServlet{
	@Override
	protected void doGet(HttpServletRequest request, HttpServletResponse response) throws ServletException, IOException {
		request.getRequestDispatcher("/WEB-INF/jsp/login.jsp").forward(request, response);
	}
	@Override
	protected void doPost(HttpServletRequest req, HttpServletResponse resp) throws ServletException, IOException {
		String error = null;
		String username = req.getParameter("username");
		String password = req.getParameter("password");
		Subject subject = SecurityUtils.getSubject();
		UsernamePasswordToken token = new UsernamePasswordToken(username,password);
		token.setRememberMe(true);
		try {
			subject.login(token);
		} catch (UnknownAccountException e){
			error = "用户名/密码错误";
		} catch (IncorrectCredentialsException e) {
			error = "用户名/密码错误";
		} catch (AuthenticationException e) {
			//其他错误，比如锁定，如果想单独处理请单独catch处理
			error = "其他错误:"+e.getMessage();
		}
		if(error!=null){//出错了，返回登录页面
			System.out.println("error");
			req.setAttribute("error", error);
			req.getRequestDispatcher("/WEB-INF/jsp/login.jsp").forward(req, resp);
		}else{//登录成功
			System.out.println("ok");
			req.getRequestDispatcher("/WEB-INF/jsp/loginSuccess.jsp").forward(req, resp);
		}
	}
}

1）doGet请求时展示登录页面；

2）doPost时进行登录，登录时收集username/password参数，然后提交给Subject进行登录。如果有错误再返回到登录页面；否则跳转到登录成功页面（此处应该返回到访问登录页面之前的那个页面，或者没有上一个页面时访问主页）。

3. login.jsp

<body>
<div class="error">${error}</div>
<div class="error">${pageContext.request.contextPath}</div>
<form action="/MavenTest6/login" method="post">
    用户名111：<input type="text" name="username"><br/>
    密码：<input type="password" name="password"><br/>
    <input type="submit" value="登录">
</form>
</body>

4. loginSuccess.jsp

<body>
欢迎${subject.principal}登录成功！<a href="${pageContext.request.contextPath}/logout">退出</a>
</body>

5. 显示当前登录用户Servlet

@WebServlet(name="authenticatedServlet",urlPatterns="/authenticated")
public class AuthenticatedServlet extends HttpServlet{
	protected void doGet(HttpServletRequest request, HttpServletResponse response) throws ServletException, IOException {
		Subject subject = SecurityUtils.getSubject();
		if(subject.isAuthenticated()){
			request.getRequestDispatcher("/WEB-INF/jsp/authenticated.jsp").forward(request, response);
		}else{
			request.getRequestDispatcher("/WEB-INF/jsp/login.jsp").forward(request, response);
		}
	}
}

6. authenticated.jsp

<body>
${subject.principal}身份验证已通过。
</body>
</html>

7. 退出Servlet

@WebServlet(name="LogoutServlet",urlPatterns="/logout")
public class LogoutServlet extends HttpServlet{
	protected void doGet(HttpServletRequest req, HttpServletResponse resp) throws ServletException, IOException {
		Subject subject = SecurityUtils.getSubject();
		subject.logout();
		req.getRequestDispatcher("/WEB-INF/jsp/login.jsp").forward(req, resp);
	}
}

8. 测试

首先输入http://localhost:8080/chapter7/login 进行登录，登录成功后接着可以访问http://localhost:8080/chapter7/authenticated来显示当前登录的用户：

${subject.principal}身份验证已通过。

当前实现的一个缺点就是，永远返回到同一个成功页面（比如首页），在实际项目中比如支付时如果没有登录将跳转到登录页面，登录成功后再跳回到支付页面；对于这种功能大家可以在登录时把当前请求保存下来，然后登录成功后再重定向到该请求即可。

Shiro 内置了登录（身份验证）的实现：基于表单的和基于Basic 的验证，其通过拦截器实现。

二、基于Basic的拦截器身份验证

1. shiro-basicfilterlogin.ini配置

[main]
authcBasic.applicationName=please login
………省略users
[urls]
/role=authcBasic,roles[admin]

1.1 authcBasic是org.apache.shiro.web.filter.authc.BasicHttpAuthenticationFilter类型的实例，其用于实现基于Basic 的身份验证；applicationName 用于弹出的登录框显示信息使用，如图：

1.2 [urls]部分配置了/role 地址需要走authcBasic 拦截器，即如果访问/role 时还没有通过身份验证那么将弹出如上图的对话框进行登录，登录成功即可访问。

完整如下：

[main]
authcBasic.applicationName=please login

perms.unauthorizedUrl=/unauthorized
roles.unauthorizedUrl=/unauthorized
[users]
zhang=123,admin
wang=123

[roles]
admin=user:*,menu:*

[urls]
/role=authcBasic,roles[admin]

2. web.xml

把shiroConfigLocations改为shiro-basicfilterlogin.ini即可。

3. 测试

输入http://localhost:8080/chapter7/role，会弹出之前的Basic 验证对话框输入“zhang/123”即可登录成功进行访问。

三、基于表单的拦截器身份验证

基于表单的拦截器身份验证和【1】类似，但是更简单，因为其已经实现了大部分登录逻辑；我们只需要指定：登录地址/登录失败后错误信息存哪/成功的地址即可。

1. shiro-formfilterlogin.ini

[main]
authc.loginUrl=/formfilterlogin
authc.usernameParam=username
authc.passwordParam=password
authc.successUrl=/
authc.failureKeyAttribute=shiroLoginFilure
perms.unauthorizedUrl=/unauthorized
roles.unauthorizedUrl=/unauthorized

[users]
zhang=123,admin
wang=123

[roles]
admin=user:*,menu:*

[urls]
/role=authc,roles[admin]
/static/**=anon
/formfilterlogin=authc
/permission=authc,perms["user:create"]

authc 是org.apache.shiro.web.filter.authc.FormAuthenticationFilter 类型的实例，其用于实现基于表单的身份验证；通过loginUrl指定当身份验证时的登录表单；

usernameParam指定登录表单提交的用户名参数名；

passwordParam指定登录表单提交的密码参数名；

successUrl指定登录成功后重定向的默认地址（默认是“/”）（如果有上一个地址会自动重定向带该地址）；

failureKeyAttribute指定登录失败时的request属性key（默认shiroLoginFailure）；这样可以在登录表单得到该错误key显示相应的错误消息；

2. web.xml

把shiroConfigLocations改为shiro- formfilterlogin.ini 即可。

3. 登录Servlet

@WebServlet(name="formFilterLoginServlet",urlPatterns="/formfilterlogin")
public class FormFilterLoginServlet extends HttpServlet{
	protected void doGet(HttpServletRequest req, HttpServletResponse resp) throws ServletException, IOException {
		doPost(req, resp);
	}
	protected void doPost(HttpServletRequest req, HttpServletResponse resp) throws ServletException, IOException {
		System.out.println("1111");
		String errorClassName = (String) req.getAttribute("shiroLoginFilure");
		if(UnknownAccountException.class.getName().equals(errorClassName)){
			req.setAttribute("error", "用户名密码错误");
		}else if(IncorrectCredentialsException.class.getName().equals(errorClassName)){
			req.setAttribute("error", "用户名/密码错误");
		}else if(errorClassName!=null){
			req.setAttribute("error", "未知错误："+errorClassName);
		}
		req.getRequestDispatcher("/WEB-INF/jsp/formfilterlogin.jsp").forward(req, resp);
	}
}

在登录Servlet 中通过shiroLoginFailure 得到authc 登录失败时的异常类型名，然后根据此异常名来决定显示什么错误消息。

4. formfilterlogin.jsp

<body>
<div class="error">${error}</div>
<form action="${pageContext.request.contextPath}/formfilterlogin" method="post">
    用户名2323：<input type="text" name="username"><br/>
    密码：<input type="password" name="password"><br/>
    <input type="submit" value="登录">
</form>
</body>

5. 测试

输入http://localhost:8080/chapter7/role，会跳转到“/formfilterlogin”登录表单，提交表单如果authc 拦截器登录成功后，会直接重定向会之前的地址“/role”；假设我们直接访问“/formfilterlogin”的话登录成功将直接到默认的successUrl。

四、授权（角色 / 权限验证）

1. shiro.ini

[main]
#默认是/login.jsp
authc.loginUrl=/login
roles.unauthorizedUrl=/unauthorized
perms.unauthorizedUrl=/unauthorized

logout.redirectUrl=/login

[users]
zhang=123,admin
wang=123

[roles]
admin=user:*,menu:*

[urls]
/logout2=logout
/login=anon
/logout=anon
/unauthorized=anon
/static/**=anon
/authenticated=authc
/role=authc,roles[admin]
/permission=authc,perms["user:create"]

通过unauthorizedUrl 属性指定如果授权失败时重定向到的地址。

roles 是org.apache.shiro.web.filter.authz.RolesAuthorizationFilter类型的实例，通过参数指定访问时需要的角色，如“[admin]”，如果有多个使用“，”分割，且验证时是hasAllRole验证，即且的关系。

Perms 是org.apache.shiro.web.filter.authz.PermissionsAuthorizationFilter类型的实例，和roles类似，只是验证权限字符串。

2. web.xml

把shiroConfigLocations改为shiro.ini即可。

3. RoleServlet / PermissionServlet

@WebServlet(name="roleServlet",urlPatterns="/role")
public class RoleServlet extends HttpServlet{
	protected void doGet(HttpServletRequest req, HttpServletResponse resp) throws ServletException, IOException {
		Subject subject = SecurityUtils.getSubject();
		subject.checkRole("admin");
		req.getRequestDispatcher("/WEB-INF/jsp/hasRole.jsp").forward(req, resp);
	}
}

@WebServlet(name="permissionServlet",urlPatterns="/permission")
public class PermissionServlet extends HttpServlet{
	protected void doGet(HttpServletRequest req, HttpServletResponse resp) throws ServletException, IOException {
		Subject subject = SecurityUtils.getSubject();
		subject.checkPermission("user:create");
		req.getRequestDispatcher("/WEB-INF/jsp/hasPermission.jsp").forward(req, resp);
	}
}

4. 测试

首先访问http://localhost:8080/chapter7/login，使用帐号“zhang/123”进行登录，再访问/role或/permission 时会跳转到成功页面（因为其授权成功了）；如果使用帐号“wang/123”登录成功后访问这两个地址会跳转到“/unauthorized”即没有授权页面。

五、退出

1. shiro.ini

同上，指定/logout使用anon拦截器即可，即不需要登录即可访问。

2. LogoutServlet

@WebServlet(name="LogoutServlet",urlPatterns="/logout")
public class LogoutServlet extends HttpServlet{
	protected void doGet(HttpServletRequest req, HttpServletResponse resp) throws ServletException, IOException {
		Subject subject = SecurityUtils.getSubject();
		subject.logout();
		req.getRequestDispatcher("/WEB-INF/jsp/login.jsp").forward(req, resp);
	}
}

直接调用Subject.logout即可，退出成功后转发/重定向到相应页面即可。

3. 测试

首先访问http://localhost:8080/chapter7/login，使用帐号“zhang/123”进行登录，登录成功后访问/logout即可退出。

Shiro 也提供了logout拦截器用于退出，其是org.apache.shiro.web.filter.authc.LogoutFilter类型的实例，我们可以在shiro.ini配置文件中通过如下配置完成退出：

[main]
logout.redirectUrl=/login
[urls]
/logout2=logout

通过logout.redirectUrl 指定退出后重定向的地址；通过/logout2=logout 指定退出url 是/logout2。这样当我们登录成功后然后访问/logout2 即可退出。

Testdddddddddddddddd

关注

0
点赞
踩
0

收藏

觉得还不错? 一键收藏
0
评论
复制链接

分享到 QQ

分享到新浪微博

扫一扫

第七章 与Web集成（三） WEB INI配置

第七章与Web集成（三） WEB INI配置