【Shiro】Apache Shiro架构之集成web

小鱼儿 2022-09-22 04:59 361阅读 0赞

欢迎关注我新搭建的博客:http://www.itcodai.com/

Shiro系列文章:
【Shiro】Apache Shiro架构之身份认证(Authentication)
【Shiro】Apache Shiro架构之权限认证(Authorization)
【Shiro】Apache Shiro架构之自定义realm
【Shiro】Apache Shiro架构之实际运用(整合到Spring中)

  
  前面两节内容介绍了Shiro中是如何进行身份和权限的认证,但是只是单纯的进行Shiro的验证,简单一点的话,用的是.ini配置文件,也举了个使用jdbc realm的例子,这篇博文主要来总结一下Shiro是如何集成web的,即如何用在web工程中。

写在前面:本文没有使用web框架,比如springmvc或者struts2,用的是原始的servlet,使用的是.ini配置文件,旨在简单粗暴,说明问题。后面会写一些和框架整合的博文。
本文部分参考Apache Shiro的官方文档,文档地址:http://shiro.apache.org/web.html

新建一个基于maven的web工程,整个工程结构目录如下:
工程目录
  下面来总结一下Shiro集成web的步骤。

1. 配置

1.1 web.xml配置

  Shiro如果想要集成到web中,首先需要在web.xml中配置Shiro的监听器和过滤器,如下:

  1. <!-- 添加shiro支持 -->
  2. <listener>
  3. <listener-class>org.apache.shiro.web.env.EnvironmentLoaderListener</listener-class>
  4. </listener>
  5. <filter>
  6. <filter-name>ShiroFilter</filter-name>
  7. <filter-class>org.apache.shiro.web.servlet.ShiroFilter</filter-class>
  8. <init-param>
  9. <param-name>configPath</param-name>
  10. <param-value>/WEB-INF/shiro.ini</param-value>
  11. </init-param>
  12. </filter>
  13. <filter-mapping>
  14. <filter-name>ShiroFilter</filter-name>
  15. <url-pattern>/*</url-pattern>
  16. </filter-mapping>

  由上面的配置可以看出,定义Shiro配置文件的路径在/WEE-INF/shiro.ini文件,Shiro的过滤器将会拦截所有的请求。web.xml中其他配置就是servlet的映射配置了,不同的servlet对应不同的请求url,如下:

  1. <servlet>
  2. <servlet-name>LoginServlet</servlet-name>
  3. <servlet-class>demo.shiro.servlet.LoginServlet</servlet-class>
  4. </servlet>
  5. <servlet-mapping>
  6. <servlet-name>LoginServlet</servlet-name>
  7. <url-pattern>/login</url-pattern>
  8. </servlet-mapping>
  9. <servlet>
  10. <servlet-name>AdminServlet</servlet-name>
  11. <servlet-class>demo.shiro.servlet.AdminServlet</servlet-class>
  12. </servlet>
  13. <servlet-mapping>
  14. <servlet-name>AdminServlet</servlet-name>
  15. <url-pattern>/admin</url-pattern>
  16. </servlet-mapping>
  17. <servlet>
  18. <servlet-name>TeacherRoleServlet</servlet-name>
  19. <servlet-class>demo.shiro.servlet.TeacherRoleServlet</servlet-class>
  20. </servlet>
  21. <servlet-mapping>
  22. <servlet-name>TeacherRoleServlet</servlet-name>
  23. <url-pattern>/student</url-pattern>
  24. </servlet-mapping>
  25. <servlet-mapping>
  26. <servlet>
  27. <servlet-name>LogoutServlet</servlet-name>
  28. <servlet-class>demo.shiro.servlet.LogoutServlet</servlet-class>
  29. </servlet>
  30. <servlet-name>LogoutServlet</servlet-name>
  31. <url-pattern>/logout</url-pattern>
  32. </servlet-mapping>
  33. <servlet>
  34. <servlet-name>TeacherPermsServlet</servlet-name>
  35. <servlet-class>demo.shiro.servlet.TeacherPermsServlet</servlet-class>
  36. </servlet>
  37. <servlet-mapping>
  38. <servlet-name>TeacherPermsServlet</servlet-name>
  39. <url-pattern>/teacher</url-pattern>
  40. </servlet-mapping>

1.2 pom.xml配置

  pom文件中需要引入相关的jar

  1. <project xmlns="http://maven.apache.org/POM/4.0.0" xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance" xsi:schemaLocation="http://maven.apache.org/POM/4.0.0 http://maven.apache.org/maven-v4_0_0.xsd">
  2. <modelVersion>4.0.0</modelVersion>
  3. <groupId>demo.shiro</groupId>
  4. <artifactId>ShiroWeb</artifactId>
  5. <packaging>war</packaging>
  6. <version>0.0.1-SNAPSHOT</version>
  7. <dependencies>
  8. <!-- shiro核心包 -->
  9. <dependency>
  10. <groupId>org.apache.shiro</groupId>
  11. <artifactId>shiro-core</artifactId>
  12. <version>1.2.5</version>
  13. </dependency>
  14. <!-- 添加shiro web支持 -->
  15. <dependency>
  16. <groupId>org.apache.shiro</groupId>
  17. <artifactId>shiro-web</artifactId>
  18. <version>1.2.5</version>
  19. </dependency>
  20. <!-- 添加sevlet支持 -->
  21. <dependency>
  22. <groupId>javax.servlet</groupId>
  23. <artifactId>javax.servlet-api</artifactId>
  24. <version>3.1.0</version>
  25. </dependency>
  26. <!-- 添加jsp支持 -->
  27. <dependency>
  28. <groupId>javax.servlet.jsp</groupId>
  29. <artifactId>javax.servlet.jsp-api</artifactId>
  30. <version>2.3.1</version>
  31. </dependency>
  32. <!-- 添加jstl支持 -->
  33. <dependency>
  34. <groupId>javax.servlet</groupId>
  35. <artifactId>jstl</artifactId>
  36. <version>1.2</version>
  37. </dependency>
  38. <!-- 添加log4j日志 -->
  39. <dependency>
  40. <groupId>log4j</groupId>
  41. <artifactId>log4j</artifactId>
  42. <version>1.2.17</version>
  43. </dependency>
  44. <dependency>
  45. <groupId>commons-logging</groupId>
  46. <artifactId>commons-logging</artifactId>
  47. <version>1.2</version>
  48. </dependency>
  49. <dependency>
  50. <groupId>org.slf4j</groupId>
  51. <artifactId>slf4j-api</artifactId>
  52. <version>1.7.21</version>
  53. </dependency>
  54. <dependency>
  55. <groupId>junit</groupId>
  56. <artifactId>junit</artifactId>
  57. <version>4.12</version>
  58. <scope>test</scope>
  59. </dependency>
  60. </dependencies>
  61. <build>
  62. <finalName>ShiroWeb</finalName>
  63. </build>
  64. </project>

2. Shiro的内置过滤器(Default Filters)

  当运行Web应用程序时,Shiro将创建一些有用的内置过滤器实例,并且自动的在[main]部分使用。我们可以人为配置它们,就好比spring中的bean一样,并且在自己定义的url中引用它们。Shiro中内置的过滤器有以下几个:






















































过滤器名 对应的类
anon(匿名) org.apache.shiro.web.filter.authc.AnonymousFilter
authc(身份验证) org.apache.shiro.web.filter.authc.FormAuthenticationFilter
authcBasic(http基本验证) org.apache.shiro.web.filter.authc.BasicHttpAuthenticationFilter
logout(退出) org.apache.shiro.web.filter.authc.LogoutFilter
noSessionCreation(不创建session) org.apache.shiro.web.filter.session.NoSessionCreationFilter
perms(许可验证) org.apache.shiro.web.filter.authz.PermissionsAuthorizationFilter
port(端口验证) org.apache.shiro.web.filter.authz.PortFilter
rest(rest方面) org.apache.shiro.web.filter.authz.HttpMethodPermissionFilter
roles(权限验证) org.apache.shiro.web.filter.authz.RolesAuthorizationFilter
ssl(ssl方面) org.apache.shiro.web.filter.authz.SslFilter
user(用户方面) org.apache.shiro.web.filter.authc.UserFilter

  这些内置的过滤器使用方法是这样的,一般先指定一个请求url对应一个过滤器名,由于该过滤器对应一个类,而这个类中会有一个属性,这个属性是当验证失败的时候指定要跳转到那个url的,所以将这个属性配置成验证失败后你要请求的url即可。这里我举其中几个(匿名,身份验证,许可验证,权限验证)来说明如何使用,其他的类似。

3. Shiro的配置文件

  针对上面我提到的几个验证,先把shiro.ini文件写好:

  1. [main]
  2. #定义身份认证失败后的请求url映射,loginUrl是身份认证过滤器中的一个属性
  3. authc.loginUrl=/login
  4. #定义角色认证失败后的请求url映射,unauthorizedUrl是角色认证过滤器中的一个属性
  5. roles.unauthorizedUrl=/unauthorized.jsp
  6. #定义角色认证失败后请求url映射,unauthorizedUrl是角色认证过滤器中的一个属性
  7. perms.unauthorizedUrl=/unauthorized.jsp
  8. #定义几个用户和角色
  9. [users]
  10. csdn1=123,admin,teacher
  11. csdn2=123,teacher
  12. csdn3=123,student
  13. csdn4=123
  14. #定义不同角色的权限
  15. [roles]
  16. admin=user:*,student:*
  17. teacher=student:*
  18. #定义请求的地址需要做什么验证
  19. [urls]
  20. #请求login的时候不需要权限,游客身份即可(anon)
  21. /login=anon
  22. #请求/admin的时候,需要身份认证(authc)
  23. /admin=authc
  24. #请求/student的时候,需要角色认证,必须是拥有teacher角色的用户才行
  25. /student=roles[teacher]
  26. #请求/teacher的时候,需要权限认证,必须是拥有user:create权限的角色的用户才行
  27. /teacher=perms["user:create"]

  我简单说明一下这个配置,比如[main]中定义的authc.loginUrl=/login,authc是一个内置过滤器,它对应org.apache.shiro.web.filter.authc.AnonymousFilter类,而这个类中有个loginUrl属性,表示验证失败后将要请求的url映射,这个url映射与一个具体的servlet对应,读到这里,可以和上面的servlet配置对比一下就知道了。roles.unauthorizedUrl也是一样的道理,只不过这里验证失败直接请求一个具体的jsp页面而已。
  [users]中是Subject认证主体,就不再赘述了,[urls]中定义需要拦截哪些请求,并做什么验证。比如/login的url映射请求不拦截,因为是登陆的,请求/admin的url映射的话做身份认证,请求/student的url映射的话要做角色认证,且必须是teacher角色才行,请求/teacher的url映射的话需要进行权限认证,必须有user:create权限的用户才可以通过验证。

4. 测试程序

  接下来一个个测试上面的这些认证。

4.1 测试authc身份认证

  测试authc,得有/admin请求,加上上面的servlet配置可知,首先完成LoginServlet和AdminServlet。

  1. //LoginServlet.java
  2. public class LoginServlet extends HttpServlet {
  3. public void doGet(HttpServletRequest request, HttpServletResponse response)
  4. throws ServletException, IOException {
  5. System.out.println("login doGet");
  6. String username = request.getParameter("username");
  7. String password = request.getParameter("password");
  8. Subject currentUser = SecurityUtils.getSubject();
  9. UsernamePasswordToken token = new UsernamePasswordToken(username, password);
  10. try {
  11. currentUser.login(token);
  12. System.out.println("认证成功");
  13. request.getSession().setAttribute("username", username);
  14. request.getRequestDispatcher("/success.jsp").forward(request, response);
  15. } catch (AuthenticationException e) {
  16. e.printStackTrace();
  17. System.out.println("认证失败");
  18. request.getRequestDispatcher("/login.jsp").forward(request, response);
  19. }
  20. }
  21. public void doPost(HttpServletRequest request, HttpServletResponse response)
  22. throws ServletException, IOException {
  23. doGet(request, response);
  24. }
  25. }

  认证成功跳转到success.jsp页面,认证失败的话就进入登录页面,让用户先登录,看一下success.jsp和login.jsp

  1. <form action="${pageContext.request.contextPath }/login" method="post">
  2. username:<input type="text" name="username"/><br>
  3. password:<input type="password" name="password"/><br>
  4. <input type="submit" value="登陆">
  5. </form>

  因为登录提交请求的是/login,而/login=anon表示匿名验证,所以不会拦截认证,直接进入LoginServlet,执行我们自己写的认证代码。下面是success.jsp,很简单。

  1. <body>
  2. 欢迎你${username }
  3. <a href="${pageContext.request.contextPath }/logout">退出</a>
  4. </body>

  顺带把LogoutServlet写了:

  1. public class LogoutServlet extends HttpServlet {
  2. public void doGet(HttpServletRequest request, HttpServletResponse response)
  3. throws ServletException, IOException {
  4. request.getSession().invalidate(); //直接让session失效
  5. }
  6. public void doPost(HttpServletRequest request, HttpServletResponse response)
  7. throws ServletException, IOException {
  8. doGet(request, response);
  9. }
  10. }

  然后就是/admin请求了,请求的是AdminServlet.jsp,如果认证成功就会进入该servlet:

  1. public class AdminServlet extends HttpServlet {
  2. private static final long serialVersionUID = 1L;
  3. public void doGet(HttpServletRequest request, HttpServletResponse response)
  4. throws ServletException, IOException {
  5. System.out.println("admin doGet");
  6. request.getRequestDispatcher("/success.jsp").forward(request, response);
  7. }
  8. public void doPost(HttpServletRequest request, HttpServletResponse response)
  9. throws ServletException, IOException {
  10. doGet(request, response);
  11. }
  12. }

  写好了之后,开启tomcat,在浏览器中访问:http://localhost:8080/ShiroWeb/admin来请求AdminServlet.java,Shiro根据配置(/admin=authc)会去进行身份认证,但是此时肯定是认证失败,所以根据配置(authc.loginUrl=/login)去请求LoginServlet.java,Shiro不会去验证,因为/login=anon,但是LoginServlet.java程序中会验证,我们自己写的。因为没有用户名和密码,所以认证失败,会跳转到login.jsp登陆页面,输入用户名和密码后,再次请求/login,此时再次进入LoginServlet.java,认证成功,进入success.jsp页面。
  因为Shiro中会默认有30分钟缓存时间,所以此时我们再次去访问http://localhost:8080/ShiroWeb/admin的时候,就可以访问到AdminServlet.java中了,可以在里面打断点验证,然后掉转到success.jsp。这就是身份认证的过程。

4.2 测试roles角色认证

  根据配置文件,我们需要请求/student才能触发roles角色认证,所以根据servlet的映射,我们完成TeacherRoleServlet.java代码。

  1. public class TeacherRoleServlet extends HttpServlet {
  2. public void doGet(HttpServletRequest request, HttpServletResponse response)
  3. throws ServletException, IOException {
  4. System.out.println("role deget");
  5. Subject currentUser = SecurityUtils.getSubject();
  6. //其实是不用判断了,因为只要进来了,肯定角色是对的,否则进不来
  7. //判断当前用户是否具有teacher角色
  8. if(currentUser.hasRole("teacher")) {
  9. request.getRequestDispatcher("/success.jsp").forward(request, response);
  10. } else {
  11. request.getRequestDispatcher("/unauthorized.jsp").forward(request, response);
  12. }
  13. }
  14. public void doPost(HttpServletRequest request, HttpServletResponse response)
  15. throws ServletException, IOException {
  16. doGet(request, response);
  17. }
  18. }

  上面程序的注释中也提到了,其实可以不用再认证了,因为进入该servlet之前,Shiro已经帮我们认证了,只有认证成功才会进入到该servlet,否则会根据配置(roles.unauthorizedUrl=/unauthorized.jsp)会直接跳转到unauthorized.jsp页面显示。

  1. <body>
  2. 认证未通过,或者权限不足
  3. <a href="${pageContext.request.contextPath }/logout">退出</a>
  4. </body>

  然后我们在浏览器中输入http://localhost:8080/ShiroWeb/student来请求TeacherRoleServlet,这里需要注意的是,刚刚测试过后需要点击退出,否则还是当前用户,会影响这次的测试。在测试角色认证的时候,它会先进行身份认证,再进行角色认证。也就是说,Shiro会先跳转到登陆页面让我们登陆,我们可以尝试两个不同的用户csdn1(有teacher角色)和csdn3(没有teacher角色)来测试。

4.2 测试perms权限认证

  和上面一样,先写TeacherPermsServlet.java:

  1. public class TeacherPermsServlet extends HttpServlet {
  2. public void doGet(HttpServletRequest request, HttpServletResponse response)
  3. throws ServletException, IOException {
  4. System.out.println("perms doget");
  5. Subject currentUser = SecurityUtils.getSubject();
  6. // 其实是不用判断了,因为只要进来了,肯定角色是对的,否则进不来
  7. // 判断当前用户是否具有teacher角色
  8. if (currentUser.isPermitted("user:create")) {
  9. request.getRequestDispatcher("/success.jsp").forward(request,
  10. response);
  11. } else {
  12. request.getRequestDispatcher("/unauthorized.jsp").forward(request,
  13. response);
  14. }
  15. }
  16. public void doPost(HttpServletRequest request, HttpServletResponse response)
  17. throws ServletException, IOException {
  18. doGet(request, response);
  19. }
  20. }

  然后我们在浏览器中输入http://localhost:8080/ShiroWeb/teacher来请求TeacherPermsServlet ,这里同样需要注意的是,刚刚测试过后需要点击退出,否则还是当前用户,会影响这次的测试。在测试权限认证的时候,它同样会先进行身份认证,再进行权限认证。也就是说,Shiro会先跳转到登陆页面让我们登陆,我们可以尝试两个不同的用户csdn1(有admin角色,从而有user:create权限)和csdn3(没有admin角色,从而没有user:create权限)来测试。

5. url匹配方式

  这里提一下Shiro在集成web的时候,url可以不用向上面那样写的很死,它可以匹配的,比如:

/admin?=authc,表示可以请求以admin开头的字符串,如xxx/adminfefe,但无法匹配多个,即xxx/admindf/admin是不行的
/admin*=authc表示可以匹配零个或者多个字符,如/admin,/admin1,/admin123,但是不能匹配/admin/abc这种
/admin/**=authc表示可以匹配零个或者多个路径,如/admin,/admin/ad/adfdf等。
/admin*/**=authc这个就不多说了,结合上面两个就知道了。

文末福利:“程序员私房菜”,一个有温度的公众号~
程序员私房菜


—–乐于分享,共同进步!
—–我的博客主页:http://blog.csdn.net/eson_15

发表评论

表情:
评论列表 (有 0 条评论,361人围观)

还没有评论,来说两句吧...

相关阅读