摘要：為了達(dá)到很好的效果，我們使用來(lái)對(duì)的緩存進(jìn)行管理配置會(huì)話管理器，對(duì)會(huì)話時(shí)間進(jìn)行控制手動(dòng)清空緩存由于驗(yàn)證用戶名和密碼之前，一般需要驗(yàn)證驗(yàn)證碼的。

本文主要講解的知識(shí)點(diǎn)有以下：

Shiro授權(quán)過(guò)濾器使用

Shiro緩存

與Ehcache整合

Shiro應(yīng)用->實(shí)現(xiàn)驗(yàn)證碼功能

記住我功能

我們的授權(quán)過(guò)濾器使用的是permissionsAuthorizationFilter來(lái)進(jìn)行攔截。我們可以在application-shiro中配置filter規(guī)則

        
        /items/queryItems.action = perms[item:query]
        /items/editItems.action = perms[item:edit] 

測(cè)試流程：
1、在applicationContext-shiro.xml中配置filter規(guī)則

/items/queryItems.action = perms[item:query]

2、用戶在認(rèn)證通過(guò)后，請(qǐng)求/items/queryItems.action
3、被PermissionsAuthorizationFilter攔截，發(fā)現(xiàn)需要“item:query”權(quán)限
4、PermissionsAuthorizationFilter 調(diào)用realm中的doGetAuthorizationInfo獲取數(shù)據(jù)庫(kù)中正確的權(quán)限
5、PermissionsAuthorizationFilter對(duì)item:query 和從realm中獲取權(quán)限進(jìn)行對(duì)比，如果“item:query”在realm返回的權(quán)限列表中，授權(quán)通過(guò)。

realm中獲取認(rèn)證的信息，查詢出該用戶對(duì)應(yīng)的權(quán)限，封裝到simpleAuthorizationInfo中，PermissionsAuthorizationFilter會(huì)根據(jù)對(duì)應(yīng)的權(quán)限來(lái)比對(duì)。

@Override
    protected AuthorizationInfo doGetAuthorizationInfo(
            PrincipalCollection principals) {
        
        //從 principals獲取主身份信息
        //將getPrimaryPrincipal方法返回值轉(zhuǎn)為真實(shí)身份類型（在上邊的doGetAuthenticationInfo認(rèn)證通過(guò)填充到SimpleAuthenticationInfo中身份類型），
        ActiveUser activeUser =  (ActiveUser) principals.getPrimaryPrincipal();
        
        //根據(jù)身份信息獲取權(quán)限信息
        //從數(shù)據(jù)庫(kù)獲取到權(quán)限數(shù)據(jù)
        List permissionList = null;
        try {
            permissionList = sysService.findPermissionListByUserId(activeUser.getUserid());
        } catch (Exception e) {
            // TODO Auto-generated catch block
            e.printStackTrace();
        }
        //多帶帶定一個(gè)集合對(duì)象 
        List permissions = new ArrayList();
        if(permissionList!=null){
            for(SysPermission sysPermission:permissionList){
                //將數(shù)據(jù)庫(kù)中的權(quán)限標(biāo)簽 符放入集合
                permissions.add(sysPermission.getPercode());
            }
        }
        
        
    /*    List permissions = new ArrayList();
        permissions.add("user:create");//用戶的創(chuàng)建
        permissions.add("item:query");//商品查詢權(quán)限
        permissions.add("item:add");//商品添加權(quán)限
        permissions.add("item:edit");//商品修改權(quán)限
*/        //....
        
        //查到權(quán)限數(shù)據(jù)，返回授權(quán)信息(要包括 上邊的permissions)
        SimpleAuthorizationInfo simpleAuthorizationInfo = new SimpleAuthorizationInfo();
        //將上邊查詢到授權(quán)信息填充到simpleAuthorizationInfo對(duì)象中
        simpleAuthorizationInfo.addStringPermissions(permissions);

        return simpleAuthorizationInfo;
    }

在bean中我們已經(jīng)配置了：如果沒(méi)有權(quán)限，那么跳轉(zhuǎn)到哪個(gè)JSP頁(yè)面了

到目前為止，現(xiàn)在問(wèn)題又來(lái)了：

1、在applicationContext-shiro.xml中配置過(guò)慮器鏈接，需要將全部的url和權(quán)限對(duì)應(yīng)起來(lái)進(jìn)行配置，比較發(fā)麻不方便使用。

2、每次授權(quán)都需要調(diào)用realm查詢數(shù)據(jù)庫(kù)，對(duì)于系統(tǒng)性能有很大影響，可以通過(guò)shiro緩存來(lái)解決。

上面的那種方法，還是需要我們將全部的url和權(quán)限對(duì)應(yīng)起來(lái)進(jìn)行配置，是比較不方便的。我們可以使用授權(quán)的另外兩種方式

注解式

標(biāo)簽式

如果要使用注解式，那么就必須在Spring中開(kāi)啟controller類aop支持

在Controller中使用注解來(lái)進(jìn)行配置就行了，就不用在我們的application-shiro中全部集中配置了

    //商品信息方法
    @RequestMapping("/queryItems")
    @RequiresPermissions("item:query")//執(zhí)行queryItems需要"item:query"權(quán)限
    public ModelAndView queryItems(HttpServletRequest request) throws Exception {
        
        System.out.println(request.getParameter("id"));
    
        //調(diào)用service查詢商品列表
        List itemsList = itemsService.findItemsList(null);

        ModelAndView modelAndView = new ModelAndView();
        modelAndView.addObject("itemsList", itemsList);
        // 指定邏輯視圖名
        modelAndView.setViewName("itemsList");

        return modelAndView;
    }

當(dāng)調(diào)用controller的一個(gè)方法，由于該 方法加了@RequiresPermissions("item:query") ，shiro調(diào)用realm獲取數(shù)據(jù)庫(kù)中的權(quán)限信息，看"item:query"是否在權(quán)限數(shù)據(jù)中存在，如果不存在就拒絕訪問(wèn)，如果存在就授權(quán)通過(guò)。

當(dāng)展示一個(gè)jsp頁(yè)面時(shí)，頁(yè)面中如果遇到，shiro調(diào)用realm獲取數(shù)據(jù)庫(kù)中的權(quán)限信息，看item:update是否在權(quán)限數(shù)據(jù)中存在，如果不存在就拒絕訪問(wèn)，如果存在就授權(quán)通過(guò)。

針對(duì)上邊授權(quán)頻繁查詢數(shù)據(jù)庫(kù)，需要使用shiro緩存

shiro中提供了對(duì)認(rèn)證信息和授權(quán)信息的緩存。shiro默認(rèn)是關(guān)閉認(rèn)證信息緩存的，對(duì)于授權(quán)信息的緩存shiro默認(rèn)開(kāi)啟的。主要研究授權(quán)信息緩存，因?yàn)?strong>授權(quán)的數(shù)據(jù)量大。

用戶認(rèn)證通過(guò)。

該用戶第一次授權(quán)：調(diào)用realm查詢數(shù)據(jù)庫(kù)
該用戶第二次授權(quán)：不調(diào)用realm查詢數(shù)據(jù)庫(kù)，直接從緩存中取出授權(quán)信息（權(quán)限標(biāo)識(shí)符）。

導(dǎo)入jar包

配置緩存管理器，注入到安全管理器中

ehcache的配置文件shiro-ehcache.xml：

如果用戶正常退出，緩存自動(dòng)清空。
如果用戶非正常退出，緩存自動(dòng)清空。

還有一種情況：

當(dāng)管理員修改了用戶的權(quán)限，但是該用戶還沒(méi)有退出，在默認(rèn)情況下，修改的權(quán)限無(wú)法立即生效。需要手動(dòng)進(jìn)行編程實(shí)現(xiàn)：在權(quán)限修改后調(diào)用realm的clearCache方法清除緩存。

清除緩存：

    //清除緩存
    public void clearCached() {
        PrincipalCollection principals = SecurityUtils.getSubject().getPrincipals();
        super.clearCache(principals);
    }

和shiro整合后，使用shiro的session管理，shiro提供sessionDao操作 會(huì)話數(shù)據(jù)。

配置sessionManager

注入到安全管理器中

在登陸的時(shí)候，我們一般都設(shè)置有驗(yàn)證碼，但是我們?nèi)绻褂肧hiro的話，那么Shiro默認(rèn)的是使用FormAuthenticationFilter進(jìn)行表單認(rèn)證。

而我們的驗(yàn)證校驗(yàn)的功能應(yīng)該加在FormAuthenticationFilter中，在認(rèn)證之前進(jìn)行驗(yàn)證碼校驗(yàn)。

FormAuthenticationFilter是Shiro默認(rèn)的功能，我們想要在FormAuthenticationFilter之前進(jìn)行驗(yàn)證碼校驗(yàn)，就需要繼承FormAuthenticationFilter類，改寫(xiě)它的認(rèn)證方法！

public class CustomFormAuthenticationFilter extends FormAuthenticationFilter {

    //原FormAuthenticationFilter的認(rèn)證方法
    @Override
    protected boolean onAccessDenied(ServletRequest request,
            ServletResponse response) throws Exception {
        //在這里進(jìn)行驗(yàn)證碼的校驗(yàn)
        
        //從session獲取正確驗(yàn)證碼
        HttpServletRequest httpServletRequest = (HttpServletRequest) request;
        HttpSession session =httpServletRequest.getSession();
        //取出session的驗(yàn)證碼（正確的驗(yàn)證碼）
        String validateCode = (String) session.getAttribute("validateCode");
        
        //取出頁(yè)面的驗(yàn)證碼
        //輸入的驗(yàn)證和session中的驗(yàn)證進(jìn)行對(duì)比 
        String randomcode = httpServletRequest.getParameter("randomcode");
        if(randomcode!=null && validateCode!=null && !randomcode.equals(validateCode)){
            //如果校驗(yàn)失敗，將驗(yàn)證碼錯(cuò)誤失敗信息，通過(guò)shiroLoginFailure設(shè)置到request中
            httpServletRequest.setAttribute("shiroLoginFailure", "randomCodeError");
            //拒絕訪問(wèn)，不再校驗(yàn)賬號(hào)和密碼 
            return true; 
        }
        return super.onAccessDenied(request, response);
    }

        
}

我們編寫(xiě)完自定義類以后，是需要在Shiro配置文件中配置我們這個(gè)自定義類的。

由于這是我們自定義的，因此我們并不需要用戶名就使用username，密碼就使用password，這個(gè)也是我們可以自定義的。

在Shiro的bean中注入自定義的過(guò)濾器

在我們的Controller添加驗(yàn)證碼錯(cuò)誤的異常判斷，從我們的Controller就可以發(fā)現(xiàn)，為什么我們要把錯(cuò)誤信息存放在request域?qū)ο髎hiroLoginFailure，因?yàn)槲覀兊迷贑ontroller中獲取獲取信息，從而給用戶對(duì)應(yīng)的提示

    @RequestMapping("login")
    public String login(HttpServletRequest request)throws Exception{
        
        //如果登陸失敗從request中獲取認(rèn)證異常信息，shiroLoginFailure就是shiro異常類的全限定名
        String exceptionClassName = (String) request.getAttribute("shiroLoginFailure");
        //根據(jù)shiro返回的異常類路徑判斷，拋出指定異常信息
        if(exceptionClassName!=null){
            if (UnknownAccountException.class.getName().equals(exceptionClassName)) {
                //最終會(huì)拋給異常處理器
                throw new CustomException("賬號(hào)不存在");
            } else if (IncorrectCredentialsException.class.getName().equals(
                    exceptionClassName)) {
                throw new CustomException("用戶名/密碼錯(cuò)誤");
            } else if("randomCodeError".equals(exceptionClassName)){
                throw new CustomException("驗(yàn)證碼錯(cuò)誤 ");
            }else {
                throw new Exception();//最終在異常處理器生成未知錯(cuò)誤
            }
        }
        //此方法不處理登陸成功（認(rèn)證成功），shiro認(rèn)證成功會(huì)自動(dòng)跳轉(zhuǎn)到上一個(gè)請(qǐng)求路徑
        //登陸失敗還到login頁(yè)面
        return "login";
    }

    
        驗(yàn)證碼：
          刷新
    

Shiro還提供了記住用戶名和密碼的功能！

用戶登陸選擇“自動(dòng)登陸”本次登陸成功會(huì)向cookie寫(xiě)身份信息，下次登陸從cookie中取出身份信息實(shí)現(xiàn)自動(dòng)登陸。

想要實(shí)現(xiàn)這個(gè)功能，我們的認(rèn)證信息需要實(shí)現(xiàn)Serializable接口。

public class ActiveUser implements java.io.Serializable {
    private String userid;//用戶id（主鍵）
    private String usercode;// 用戶賬號(hào)
    private String username;// 用戶名稱

    private List menus;// 菜單
    private List permissions;// 權(quán)限


}

注入到安全管理器類上

配置頁(yè)面的input名稱：

            
                
                自動(dòng)登陸
            

如果設(shè)置了“記住我”，那么訪問(wèn)某些URL的時(shí)候，我們就不需要登陸了。將記住我即可訪問(wèn)的地址配置讓UserFilter攔截。

        
        /index.jsp  = user
        /first.action = user
        /welcome.jsp = user

Shiro的授權(quán)過(guò)程和認(rèn)證過(guò)程是類似的，在配置文件上配置需要授權(quán)的路徑，當(dāng)訪問(wèn)路徑的時(shí)候，Shiro過(guò)濾器去找到reaml，reaml返回?cái)?shù)據(jù)以后進(jìn)行比對(duì)。

Shiro支持注解式授權(quán)，直接在Controller方法上使用注解聲明訪問(wèn)該方法需要授權(quán)

Shiro還支持標(biāo)簽授權(quán)，但一般很少用

由于每次都要對(duì)reaml查詢數(shù)據(jù)庫(kù)，性能會(huì)低。Shiro默認(rèn)是支持授權(quán)緩存的。為了達(dá)到很好的效果，我們使用Ehcache來(lái)對(duì)Shiro的緩存進(jìn)行管理

配置會(huì)話管理器，對(duì)會(huì)話時(shí)間進(jìn)行控制

手動(dòng)清空緩存

由于驗(yàn)證用戶名和密碼之前，一般需要驗(yàn)證驗(yàn)證碼的。所以，我們要改寫(xiě)表單驗(yàn)證的功能，先讓它去看看驗(yàn)證碼是否有錯(cuò)，如果驗(yàn)證碼有錯(cuò)的話，那么用戶名和密碼就不用驗(yàn)證了。

將自定義的表單驗(yàn)證類配置起來(lái)。

使用Shiro提供的記住我功能，如果用戶已經(jīng)認(rèn)證了，那就不用再次登陸了?？梢灾苯釉L問(wèn)某些頁(yè)面。

如果文章有錯(cuò)的地方歡迎指正，大家互相交流。習(xí)慣在微信看技術(shù)文章，想要獲取更多的Java資源的同學(xué)，可以關(guān)注微信公眾號(hào):Java3y