第八章 拦截器机制(三) 自定义拦截器

通过自定义自己的拦截器可以扩展一些功能,诸如动态url-角色/权限访问控制的实现、根据Subject 身份信息获取用户信息绑定到Request(即设置通用数据)、验证码验证、在线用户信息的保存等等,因为其本质就是一个Filter;所以Filter能做的它就能做。

1、扩展OncePerRequestFilter

OncePerRequestFilter保证一次请求只调用一次doFilterInternal,即如内部的forward 不会再多执行一次doFilterInternal:

public class MyOncePerRequestFilter extends OncePerRequestFilter{
	@Override
	protected void doFilterInternal(ServletRequest request, ServletResponse response,FilterChain chain) throws ServletException, IOException {
		System.out.println("=========once per request filter");
		chain.doFilter(request, response);
	}
}

然后再shiro.ini配置文件中:

[main]
authc.loginUrl=/login
roles.unauthorizedUrl=/unauthorized
perms.unauthorizedUrl=/unauthorized
logout.redirectUrl=/login
#myFilter1=chapter8.MyOncePerRequestFilter

#自定义Filter可以在[main]中定义,也可以在[filter]中定义
[filter]
myFilter1=chapter8.MyOncePerRequestFilter

[users]
zhang=123,admin
wang=123

[roles]
admin=user:*,menu:*

[urls]
#设置拦截的URL
/**=myFilter1
/logout2=logout
/login=anon
/logout=anon
/unauthorized=anon
/static/**=anon
/authenticated=authc
/role=authc,roles[admin]
/permission=authc,perms["user:create"]

2、扩展AdviceFilter

AdviceFilter提供了AOP 的功能,其实现和SpringMVC 中的Interceptor思想一样:具体可参考我的SpringMVC教程中的处理器拦截器部分:

public class MyAdviceFilter extends AdviceFilter{
	@Override
	protected boolean preHandle(ServletRequest request, ServletResponse response) throws Exception {
		System.out.println("=====预处理/前置处理");
		return true;//返回false将中断后续拦截器链的执行
	}
	@Override
	protected void postHandle(ServletRequest request, ServletResponse response) throws Exception {
		System.out.println("=====后处理/后置返回处理");
	}
	@Override
	public void afterCompletion(ServletRequest request,ServletResponse response, Exception exception) throws Exception {
		System.out.println("=====完成处理/后置最终处理");
	}
}

preHandle:进行请求的预处理,然后根据返回值决定是否继续处理(true:继续过滤器链);可以通过它实现权限控制;

postHandle:执行完拦截器链之后正常返回后执行;

afterCompletion:不管最后有没有异常,afterCompletion都会执行,完成如清理资源功能。


然后在shiro.ini中进行如下配置:

[main]
authc.loginUrl=/login
roles.unauthorizedUrl=/unauthorized
perms.unauthorizedUrl=/unauthorized
logout.redirectUrl=/login
#myFilter1=chapter8.MyOncePerRequestFilter

[filters]
myFilter1=chapter8.MyOncePerRequestFilter
#声明自定义AdviceFilter
myFilter2=chapter8.MyAdviceFilter

[users]
zhang=123,admin
wang=123

[roles]
admin=user:*,menu:*

[urls]
#设置拦截的URL
/**=myFilter1,myFilter2
/logout2=logout
/login=anon
/logout=anon
/unauthorized=anon
/static/**=anon
/authenticated=authc
/role=authc,roles[admin]
/permission=authc,perms["user:create"]

该过滤器的具体使用可参考我的SpringMVC 教程中的处理器拦截器部分。

3、PathMatchingFilter

PathMatchingFilter 继承了AdviceFilter,提供了url 模式过滤的功能,如果需要对指定的请求进行处理,可以扩展PathMatchingFilter:

public class MyPathMatchingFilter extends PathMatchingFilter {
	@Override
	protected boolean preHandle(ServletRequest request, ServletResponse response) throws Exception {
		return super.preHandle(request,response);
	}
	@Override
	protected boolean onPreHandle(ServletRequest request,ServletResponse response, Object mappedValue) throws Exception {
		System.out.println("url matches,config is "+Arrays.toString((String[])mappedValue));
		return true;
	}
}

preHandle:会进行url 模式与请求url 进行匹配,如果匹配会调用onPreHandle;如果没有配置url模式/没有url模式匹配,默认直接返回true;

onPreHandle:如果url 模式与请求url 匹配,那么会执行onPreHandle,并把该拦截器配置的参数传入。默认什么不处理直接返回true。

然后在shiro.ini中进行如下配置:

[main]
authc.loginUrl=/login
roles.unauthorizedUrl=/unauthorized
perms.unauthorizedUrl=/unauthorized
logout.redirectUrl=/login
#myFilter1=chapter8.MyOncePerRequestFilter

[filters]
myFilter1=chapter8.MyOncePerRequestFilter
myFilter2=chapter8.MyAdviceFilter
#自定义PathMatchingFilter
myFilter3=chapter8.MyPathMatchingFilter

[users]
zhang=123,admin
wang=123

[roles]
admin=user:*,menu:*

[urls]
#设置拦截的URL
/**=myFilter3[config,c]
/logout2=logout
/login=anon
/logout=anon
/unauthorized=anon
/static/**=anon
/authenticated=authc
/role=authc,roles[admin]
/permission=authc,perms["user:create"]

/**就是注册给PathMatchingFilter 的url 模式,config 就是拦截器的配置参数,多个之间逗号分隔,onPreHandle使用mappedValue接收参数值。

4、扩展AccessControlFilter

AccessControlFilter继承了PathMatchingFilter,并扩展了了两个方法:

public boolean onPreHandle(ServletRequest request, ServletResponse response, Object mappedValue) throws Exception {
	return isAccessAllowed(request, response, mappedValue) || onAccessDenied(request, response, mappedValue);
}

isAccessAllowed:即是否允许访问,返回true 表示允许;

onAccessDenied:表示访问拒绝时是否自己处理,如果返回true 表示自己不处理且继续拦截器链执行,返回false表示自己已经处理了(比如重定向到另一个页面)。

public class MyAccessControlFilter extends AccessControlFilter{
	@Override
	protected boolean isAccessAllowed(ServletRequest request,ServletResponse response, Object mappedValue) throws Exception {
		System.out.println("access allowed");
		return true;
	}
	@Override
	protected boolean onAccessDenied(ServletRequest request, ServletResponse response) throws Exception {
		System.out.println("访问拒绝也不自己处理,继续拦截器链的执行");
		return true;
	}
}

然后在shiro.ini中进行如下配置:

[main]
authc.loginUrl=/login
roles.unauthorizedUrl=/unauthorized
perms.unauthorizedUrl=/unauthorized
logout.redirectUrl=/login
#myFilter1=chapter8.MyOncePerRequestFilter

[filters]
myFilter1=chapter8.MyOncePerRequestFilter
myFilter2=chapter8.MyAdviceFilter
myFilter3=chapter8.MyPathMatchingFilter
#自定义AccessControlFilter
myFilter4=chapter8.MyAccessControlFilter

[users]
zhang=123,admin
wang=123

[roles]
admin=user:*,menu:*

[urls]
#设置拦截的URL
/**=myFilter4
/logout2=logout
/login=anon
/logout=anon
/unauthorized=anon
/static/**=anon
/authenticated=authc
/role=authc,roles[admin]
/permission=authc,perms["user:create"]

5、基于表单登录拦截器

之前我们已经使用过Shiro 内置的基于表单登录的拦截器了,此处自己做一个类似的基于表单登录的拦截器。

public class FormLoginFilter extends PathMatchingFilter{
	private String loginUrl = "/login.jsp";
	private String successUrl = "/";
	
	protected boolean onPreHandle(ServletRequest request,ServletResponse response, Object mappedValue) throws Exception {
		if(SecurityUtils.getSubject().isAuthenticated()){
			return true;//已经登录过
		}
		HttpServletRequest req = (HttpServletRequest) request;
		HttpServletResponse resp = (HttpServletResponse) response;
		if(isLoginRequest(req)){
			if("post".equalsIgnoreCase(req.getMethod())){
				boolean loginSuccess = login(req);
				if(loginSuccess){
					return redirectToSuccessUrl(req, resp);
				}
			}
			return true;//继续过滤器链
		}else{
			saveRequestAndRedirectToLogin(req, resp);
			return false;
		}
	}
	/*
	 * 登录成功后
	 */
	private boolean redirectToSuccessUrl(HttpServletRequest req,HttpServletResponse resp) throws IOException{
		//转到之前的保存的页面
		WebUtils.redirectToSavedRequest(req, resp, successUrl);
		return false;
	}
	/*
	 * 保存当前请求地址并重定向到登录界面
	 */
	private void saveRequestAndRedirectToLogin(HttpServletRequest req,HttpServletResponse resp) throws IOException{
		WebUtils.saveRequest(req);	//保存当前地址
		WebUtils.issueRedirect(req, resp, loginUrl);	//重定向到登录界面
	}
	/*
	 * 登录
	 */
	private boolean login(HttpServletRequest req){
		String username = req.getParameter("username");
		String password = req.getParameter("password");
		try {
			SecurityUtils.getSubject().login(new UsernamePasswordToken(username, password));
		} catch (Exception e) {
			req.setAttribute("shiroLoginFailure", e.getClass());
			return false;
		}
		return true;
	}
	/*
	 * 判断是否是登录请求
	 */
	private boolean isLoginRequest(HttpServletRequest req){
		return pathsMatch(loginUrl, WebUtils.getPathWithinApplication(req));
	}
}

onPreHandle主要流程:

1、首先判断是否已经登录过了,如果已经登录过了继续拦截器链即可;

2、如果没有登录,看看是否是登录请求,如果是get方法的登录页面请求,则继续拦截器链(到请求页面),否则如果是get 方法的其他页面请求则保存当前请求并重定向到登录页面;

3、如果是post 方法的登录页面表单提交请求,则收集用户名/密码登录即可,如果失败了保存错误消息到“shiroLoginFailure”并返回到登录页面;

4、如果登录成功了,且之前有保存的请求,则重定向到之前的这个请求,否则到默认的成功页面。


shiro.ini配置

[main]
authc.loginUrl=/login
roles.unauthorizedUrl=/unauthorized
perms.unauthorizedUrl=/unauthorized
logout.redirectUrl=/login
#myFilter1=chapter8.MyOncePerRequestFilter

[filters]
myFilter1=chapter8.MyOncePerRequestFilter
myFilter2=chapter8.MyAdviceFilter
myFilter3=chapter8.MyPathMatchingFilter
myFilter4=chapter8.MyAccessControlFilter
#自定义表单拦截器
formLogin=chapter8.FormLoginFilter

[users]
zhang=123,admin
wang=123

[roles]
admin=user:*,menu:*

[urls]
#设置拦截的URL
/test.jsp=formLogin
/login.jsp=formLogin
/logout2=logout
/login=anon
/logout=anon
/unauthorized=anon
/static/**=anon
/authenticated=authc
/role=authc,roles[admin]
/permission=authc,perms["user:create"]

启动服务器输入http://localhost:8080/chapter8/test.jsp测试时,会自动跳转到登录页面,登录成功后又会跳回到test.jsp页面。

此处可以通过继承AuthenticatingFilter实现,其提供了很多登录相关的基础代码。另外可以参考Shiro 内嵌的FormAuthenticationFilter的源码,思路是一样的。

6、任意角色授权拦截器

Shiro 提供roles 拦截器,其验证用户拥有所有角色,没有提供验证用户拥有任意角色的拦截器。

public class AnyRolesFilter extends AccessControlFilter{
	private String unauthorizedUrl = "/unauthorized.jsp";
	private String loginUrl = "login.jsp";
	/*
	 * 表示是否允许访问;mappedValue 就是[urls]配置中拦截器参数部分,如果允许访问返回true,否则false;
	 */
	protected boolean isAccessAllowed(ServletRequest request,ServletResponse response, Object mappedValue) throws Exception {
		String[] roles = (String[]) mappedValue;
		if(roles==null){
			return true;//如果没有设置角色参数,默认成功
		}
		for(String role:roles){
			if(getSubject(request, response).hasRole(role)){
				return true;
			}
		}
		return false;//跳到onAccessDenied处理
	}
	/*
	 * 表示当访问拒绝时是否已经处理了,如果返回true 表示需要继续处理;如果返回false表示该拦截器实例已经处理了,将直接返回即可。
	 */
	protected boolean onAccessDenied(ServletRequest request, ServletResponse response) throws Exception {
		Subject subject = getSubject(request, response);
		if(subject.getPrincipal()==null){//表示没有登录,重定向
			saveRequest(request);
			WebUtils.issueRedirect(request, response, unauthorizedUrl);
		}else{
			//如果里面的值为null,""," ",那么返回值为false;否则为true
			if(StringUtils.hasText(unauthorizedUrl)){//如果有未授权页面跳转过去
				WebUtils.issueRedirect(request, response, unauthorizedUrl);
			}else{//否则返回401未授权状态码
				WebUtils.toHttp(response).sendError(HttpServletResponse.SC_UNAUTHORIZED);
			}
		}
		return false;
	}
}

流程:

1、首先判断用户有没有任意角色,如果没有返回false,将到onAccessDenied 进行处理;

2、如果用户没有角色,接着判断用户有没有登录,如果没有登录先重定向到登录;

3、如果用户没有角色且设置了未授权页面(unauthorizedUrl),那么重定向到未授权页面;否则直接返回401 未授权错误码。

shiro.ini配置

[main]
authc.loginUrl=/login
roles.unauthorizedUrl=/unauthorized
perms.unauthorizedUrl=/unauthorized
logout.redirectUrl=/login
#myFilter1=chapter8.MyOncePerRequestFilter

[filters]
myFilter1=chapter8.MyOncePerRequestFilter
myFilter2=chapter8.MyAdviceFilter
myFilter3=chapter8.MyPathMatchingFilter
myFilter4=chapter8.MyAccessControlFilter
formLogin=chapter8.FormLoginFilter
#自定义角色拦截器
anyRoles=chapter8.AnyRolesFilter

[users]
zhang=123,admin
wang=123

[roles]
admin=user:*,menu:*

[urls]
#设置拦截的URL
/test.jsp=formLogin,anyRoles[admin,user]
/login.jsp=formLogin
/logout2=logout
/login=anon
/logout=anon
/unauthorized=anon
/static/**=anon
/authenticated=authc
/role=authc,roles[admin]
/permission=authc,perms["user:create"]

此处可以继承AuthorizationFilter实现,其提供了授权相关的基础代码。另外可以参考Shiro内嵌的RolesAuthorizationFilter的源码,只是实现hasAllRoles逻辑。

  • 0
    点赞
  • 1
    收藏
    觉得还不错? 一键收藏
  • 0
    评论

“相关推荐”对你有帮助么?

  • 非常没帮助
  • 没帮助
  • 一般
  • 有帮助
  • 非常有帮助
提交
评论
添加红包

请填写红包祝福语或标题

红包个数最小为10个

红包金额最低5元

当前余额3.43前往充值 >
需支付:10.00
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明:

1.余额是钱包充值的虚拟货币,按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载,可以购买VIP、付费专栏及课程。

余额充值