通过自定义自己的拦截器可以扩展一些功能,诸如动态url-角色/权限访问控制的实现、根据Subject 身份信息获取用户信息绑定到Request(即设置通用数据)、验证码验证、在线用户信息的保存等等,因为其本质就是一个Filter;所以Filter能做的它就能做。
1、扩展OncePerRequestFilter
OncePerRequestFilter保证一次请求只调用一次doFilterInternal,即如内部的forward 不会再多执行一次doFilterInternal:
public class MyOncePerRequestFilter extends OncePerRequestFilter{
@Override
protected void doFilterInternal(ServletRequest request, ServletResponse response,FilterChain chain) throws ServletException, IOException {
System.out.println("=========once per request filter");
chain.doFilter(request, response);
}
}
然后再shiro.ini配置文件中:
[main]
authc.loginUrl=/login
roles.unauthorizedUrl=/unauthorized
perms.unauthorizedUrl=/unauthorized
logout.redirectUrl=/login
#myFilter1=chapter8.MyOncePerRequestFilter
#自定义Filter可以在[main]中定义,也可以在[filter]中定义
[filter]
myFilter1=chapter8.MyOncePerRequestFilter
[users]
zhang=123,admin
wang=123
[roles]
admin=user:*,menu:*
[urls]
#设置拦截的URL
/**=myFilter1
/logout2=logout
/login=anon
/logout=anon
/unauthorized=anon
/static/**=anon
/authenticated=authc
/role=authc,roles[admin]
/permission=authc,perms["user:create"]
2、扩展AdviceFilter
AdviceFilter提供了AOP 的功能,其实现和SpringMVC 中的Interceptor思想一样:具体可参考我的SpringMVC教程中的处理器拦截器部分:
public class MyAdviceFilter extends AdviceFilter{
@Override
protected boolean preHandle(ServletRequest request, ServletResponse response) throws Exception {
System.out.println("=====预处理/前置处理");
return true;//返回false将中断后续拦截器链的执行
}
@Override
protected void postHandle(ServletRequest request, ServletResponse response) throws Exception {
System.out.println("=====后处理/后置返回处理");
}
@Override
public void afterCompletion(ServletRequest request,ServletResponse response, Exception exception) throws Exception {
System.out.println("=====完成处理/后置最终处理");
}
}
preHandle:进行请求的预处理,然后根据返回值决定是否继续处理(true:继续过滤器链);可以通过它实现权限控制;
postHandle:执行完拦截器链之后正常返回后执行;
afterCompletion:不管最后有没有异常,afterCompletion都会执行,完成如清理资源功能。
然后在shiro.ini中进行如下配置:
[main]
authc.loginUrl=/login
roles.unauthorizedUrl=/unauthorized
perms.unauthorizedUrl=/unauthorized
logout.redirectUrl=/login
#myFilter1=chapter8.MyOncePerRequestFilter
[filters]
myFilter1=chapter8.MyOncePerRequestFilter
#声明自定义AdviceFilter
myFilter2=chapter8.MyAdviceFilter
[users]
zhang=123,admin
wang=123
[roles]
admin=user:*,menu:*
[urls]
#设置拦截的URL
/**=myFilter1,myFilter2
/logout2=logout
/login=anon
/logout=anon
/unauthorized=anon
/static/**=anon
/authenticated=authc
/role=authc,roles[admin]
/permission=authc,perms["user:create"]
该过滤器的具体使用可参考我的SpringMVC 教程中的处理器拦截器部分。
3、PathMatchingFilter
PathMatchingFilter 继承了AdviceFilter,提供了url 模式过滤的功能,如果需要对指定的请求进行处理,可以扩展PathMatchingFilter:
public class MyPathMatchingFilter extends PathMatchingFilter {
@Override
protected boolean preHandle(ServletRequest request, ServletResponse response) throws Exception {
return super.preHandle(request,response);
}
@Override
protected boolean onPreHandle(ServletRequest request,ServletResponse response, Object mappedValue) throws Exception {
System.out.println("url matches,config is "+Arrays.toString((String[])mappedValue));
return true;
}
}
preHandle:会进行url 模式与请求url 进行匹配,如果匹配会调用onPreHandle;如果没有配置url模式/没有url模式匹配,默认直接返回true;
onPreHandle:如果url 模式与请求url 匹配,那么会执行onPreHandle,并把该拦截器配置的参数传入。默认什么不处理直接返回true。
然后在shiro.ini中进行如下配置:
[main]
authc.loginUrl=/login
roles.unauthorizedUrl=/unauthorized
perms.unauthorizedUrl=/unauthorized
logout.redirectUrl=/login
#myFilter1=chapter8.MyOncePerRequestFilter
[filters]
myFilter1=chapter8.MyOncePerRequestFilter
myFilter2=chapter8.MyAdviceFilter
#自定义PathMatchingFilter
myFilter3=chapter8.MyPathMatchingFilter
[users]
zhang=123,admin
wang=123
[roles]
admin=user:*,menu:*
[urls]
#设置拦截的URL
/**=myFilter3[config,c]
/logout2=logout
/login=anon
/logout=anon
/unauthorized=anon
/static/**=anon
/authenticated=authc
/role=authc,roles[admin]
/permission=authc,perms["user:create"]
/**就是注册给PathMatchingFilter 的url 模式,config 就是拦截器的配置参数,多个之间逗号分隔,onPreHandle使用mappedValue接收参数值。
4、扩展AccessControlFilter
AccessControlFilter继承了PathMatchingFilter,并扩展了了两个方法:
public boolean onPreHandle(ServletRequest request, ServletResponse response, Object mappedValue) throws Exception {
return isAccessAllowed(request, response, mappedValue) || onAccessDenied(request, response, mappedValue);
}
isAccessAllowed:即是否允许访问,返回true 表示允许;
onAccessDenied:表示访问拒绝时是否自己处理,如果返回true 表示自己不处理且继续拦截器链执行,返回false表示自己已经处理了(比如重定向到另一个页面)。
public class MyAccessControlFilter extends AccessControlFilter{
@Override
protected boolean isAccessAllowed(ServletRequest request,ServletResponse response, Object mappedValue) throws Exception {
System.out.println("access allowed");
return true;
}
@Override
protected boolean onAccessDenied(ServletRequest request, ServletResponse response) throws Exception {
System.out.println("访问拒绝也不自己处理,继续拦截器链的执行");
return true;
}
}
然后在shiro.ini中进行如下配置:
[main]
authc.loginUrl=/login
roles.unauthorizedUrl=/unauthorized
perms.unauthorizedUrl=/unauthorized
logout.redirectUrl=/login
#myFilter1=chapter8.MyOncePerRequestFilter
[filters]
myFilter1=chapter8.MyOncePerRequestFilter
myFilter2=chapter8.MyAdviceFilter
myFilter3=chapter8.MyPathMatchingFilter
#自定义AccessControlFilter
myFilter4=chapter8.MyAccessControlFilter
[users]
zhang=123,admin
wang=123
[roles]
admin=user:*,menu:*
[urls]
#设置拦截的URL
/**=myFilter4
/logout2=logout
/login=anon
/logout=anon
/unauthorized=anon
/static/**=anon
/authenticated=authc
/role=authc,roles[admin]
/permission=authc,perms["user:create"]
5、基于表单登录拦截器
之前我们已经使用过Shiro 内置的基于表单登录的拦截器了,此处自己做一个类似的基于表单登录的拦截器。
public class FormLoginFilter extends PathMatchingFilter{
private String loginUrl = "/login.jsp";
private String successUrl = "/";
protected boolean onPreHandle(ServletRequest request,ServletResponse response, Object mappedValue) throws Exception {
if(SecurityUtils.getSubject().isAuthenticated()){
return true;//已经登录过
}
HttpServletRequest req = (HttpServletRequest) request;
HttpServletResponse resp = (HttpServletResponse) response;
if(isLoginRequest(req)){
if("post".equalsIgnoreCase(req.getMethod())){
boolean loginSuccess = login(req);
if(loginSuccess){
return redirectToSuccessUrl(req, resp);
}
}
return true;//继续过滤器链
}else{
saveRequestAndRedirectToLogin(req, resp);
return false;
}
}
/*
* 登录成功后
*/
private boolean redirectToSuccessUrl(HttpServletRequest req,HttpServletResponse resp) throws IOException{
//转到之前的保存的页面
WebUtils.redirectToSavedRequest(req, resp, successUrl);
return false;
}
/*
* 保存当前请求地址并重定向到登录界面
*/
private void saveRequestAndRedirectToLogin(HttpServletRequest req,HttpServletResponse resp) throws IOException{
WebUtils.saveRequest(req); //保存当前地址
WebUtils.issueRedirect(req, resp, loginUrl); //重定向到登录界面
}
/*
* 登录
*/
private boolean login(HttpServletRequest req){
String username = req.getParameter("username");
String password = req.getParameter("password");
try {
SecurityUtils.getSubject().login(new UsernamePasswordToken(username, password));
} catch (Exception e) {
req.setAttribute("shiroLoginFailure", e.getClass());
return false;
}
return true;
}
/*
* 判断是否是登录请求
*/
private boolean isLoginRequest(HttpServletRequest req){
return pathsMatch(loginUrl, WebUtils.getPathWithinApplication(req));
}
}
onPreHandle主要流程:
1、首先判断是否已经登录过了,如果已经登录过了继续拦截器链即可;
2、如果没有登录,看看是否是登录请求,如果是get方法的登录页面请求,则继续拦截器链(到请求页面),否则如果是get 方法的其他页面请求则保存当前请求并重定向到登录页面;
3、如果是post 方法的登录页面表单提交请求,则收集用户名/密码登录即可,如果失败了保存错误消息到“shiroLoginFailure”并返回到登录页面;
4、如果登录成功了,且之前有保存的请求,则重定向到之前的这个请求,否则到默认的成功页面。
shiro.ini配置
[main]
authc.loginUrl=/login
roles.unauthorizedUrl=/unauthorized
perms.unauthorizedUrl=/unauthorized
logout.redirectUrl=/login
#myFilter1=chapter8.MyOncePerRequestFilter
[filters]
myFilter1=chapter8.MyOncePerRequestFilter
myFilter2=chapter8.MyAdviceFilter
myFilter3=chapter8.MyPathMatchingFilter
myFilter4=chapter8.MyAccessControlFilter
#自定义表单拦截器
formLogin=chapter8.FormLoginFilter
[users]
zhang=123,admin
wang=123
[roles]
admin=user:*,menu:*
[urls]
#设置拦截的URL
/test.jsp=formLogin
/login.jsp=formLogin
/logout2=logout
/login=anon
/logout=anon
/unauthorized=anon
/static/**=anon
/authenticated=authc
/role=authc,roles[admin]
/permission=authc,perms["user:create"]
启动服务器输入http://localhost:8080/chapter8/test.jsp测试时,会自动跳转到登录页面,登录成功后又会跳回到test.jsp页面。
此处可以通过继承AuthenticatingFilter实现,其提供了很多登录相关的基础代码。另外可以参考Shiro 内嵌的FormAuthenticationFilter的源码,思路是一样的。
6、任意角色授权拦截器
Shiro 提供roles 拦截器,其验证用户拥有所有角色,没有提供验证用户拥有任意角色的拦截器。
public class AnyRolesFilter extends AccessControlFilter{
private String unauthorizedUrl = "/unauthorized.jsp";
private String loginUrl = "login.jsp";
/*
* 表示是否允许访问;mappedValue 就是[urls]配置中拦截器参数部分,如果允许访问返回true,否则false;
*/
protected boolean isAccessAllowed(ServletRequest request,ServletResponse response, Object mappedValue) throws Exception {
String[] roles = (String[]) mappedValue;
if(roles==null){
return true;//如果没有设置角色参数,默认成功
}
for(String role:roles){
if(getSubject(request, response).hasRole(role)){
return true;
}
}
return false;//跳到onAccessDenied处理
}
/*
* 表示当访问拒绝时是否已经处理了,如果返回true 表示需要继续处理;如果返回false表示该拦截器实例已经处理了,将直接返回即可。
*/
protected boolean onAccessDenied(ServletRequest request, ServletResponse response) throws Exception {
Subject subject = getSubject(request, response);
if(subject.getPrincipal()==null){//表示没有登录,重定向
saveRequest(request);
WebUtils.issueRedirect(request, response, unauthorizedUrl);
}else{
//如果里面的值为null,""," ",那么返回值为false;否则为true
if(StringUtils.hasText(unauthorizedUrl)){//如果有未授权页面跳转过去
WebUtils.issueRedirect(request, response, unauthorizedUrl);
}else{//否则返回401未授权状态码
WebUtils.toHttp(response).sendError(HttpServletResponse.SC_UNAUTHORIZED);
}
}
return false;
}
}
流程:
1、首先判断用户有没有任意角色,如果没有返回false,将到onAccessDenied 进行处理;
2、如果用户没有角色,接着判断用户有没有登录,如果没有登录先重定向到登录;
3、如果用户没有角色且设置了未授权页面(unauthorizedUrl),那么重定向到未授权页面;否则直接返回401 未授权错误码。
shiro.ini配置
[main]
authc.loginUrl=/login
roles.unauthorizedUrl=/unauthorized
perms.unauthorizedUrl=/unauthorized
logout.redirectUrl=/login
#myFilter1=chapter8.MyOncePerRequestFilter
[filters]
myFilter1=chapter8.MyOncePerRequestFilter
myFilter2=chapter8.MyAdviceFilter
myFilter3=chapter8.MyPathMatchingFilter
myFilter4=chapter8.MyAccessControlFilter
formLogin=chapter8.FormLoginFilter
#自定义角色拦截器
anyRoles=chapter8.AnyRolesFilter
[users]
zhang=123,admin
wang=123
[roles]
admin=user:*,menu:*
[urls]
#设置拦截的URL
/test.jsp=formLogin,anyRoles[admin,user]
/login.jsp=formLogin
/logout2=logout
/login=anon
/logout=anon
/unauthorized=anon
/static/**=anon
/authenticated=authc
/role=authc,roles[admin]
/permission=authc,perms["user:create"]
此处可以继承AuthorizationFilter实现,其提供了授权相关的基础代码。另外可以参考Shiro内嵌的RolesAuthorizationFilter的源码,只是实现hasAllRoles逻辑。