【SaaS - Export项目】22 - shrio的过滤器和标签，apache shiro登录认证功能（拦截非登录用户访问登录模块权限）

男娘i 2022-12-20 02:20 110阅读 0赞

### 文章目录 ###

*   *  1. Shiro的过滤器和标签介绍
     *   *  1.1 shiro过滤器
         *  1.2 shiro标签
     *  2. Shiro实现登录认证（判断session有无user信息）
     *   *  2.1 拦截路径的三个属性\`/ /\* /\*\*\`区别
         *  2.2 applicationContext-shiro.xml配置登录认证拦截
         *  2.3 Shiro的登录认证（用户名密码验证）
         *   *  UserController
         *  2.4 AuthRealm配置认证Authorization（认证账号密码）
         *  2.5 login-shiro.jsp验证无登录跳转shiro登录页面
         *  2.6 效果

## 1. Shiro的过滤器和标签介绍 ##

作用：**判断 sesion中是否有 user， 判断账户密码是否正确**

> 通过shiro过滤器控制，对于没有权限访问的url链接跳转到指定的页面（不给予访问）。  
> 通过shiro标签控制，对于没有权限的模块/功能，在界面元素中隐藏（不显示）。

### 1.1 shiro过滤器 ###

> 两个重要过滤器  
> `anon` 代表不认证也可以访问（匿名访问），通常是对静态资源进行拦截的放行（不拦截）。  
> `authc` 代表必须通过认证才可以访问，通常对动态资源（controller，jsp页面）进行拦截，如果用户没有认证，Shiro会自动跳转到指定的页面(比如`login.jsp`)

shiro默认过滤器的枚举过滤器DefaultFilter。

public enum DefaultFilter { 
        anon(AnonymousFilter.class),
        authc(FormAuthenticationFilter.class),
        authcBasic(BasicHttpAuthenticationFilter.class),
        logout(LogoutFilter.class),
        noSessionCreation(NoSessionCreationFilter.class),
        perms(PermissionsAuthorizationFilter.class),
        port(PortFilter.class),
        rest(HttpMethodPermissionFilter.class),
        roles(RolesAuthorizationFilter.class),
        ssl(SslFilter.class),
        user(UserFilter.class);
    }

过滤器对应的java类  
![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQwNTQyNTM0_size_16_color_FFFFFF_t_70_pic_center]

身份验证相关过滤器

<table> 
 <thead> 
  <tr> 
   <th align="left">身份验证相关过滤器</th> 
   <th align="left">描述</th> 
  </tr> 
 </thead> 
 <tbody> 
  <tr> 
   <td align="left"><strong>authc</strong></td> 
   <td align="left">属于表单的过滤器，如<code>/**=authc</code>，如果没有登录会跳到相应的登录页面登录。主要属性：<br>1）<strong>usernameParam</strong>：表单提交的用户名参数名（username）<br>2）<strong>passwordParam</strong>：表单提交的密码参数名（password）<br>3）<strong>rememberMeParam</strong>：表单提交的密码参数名（rememberMe）<br>4） <strong>loginUrl</strong>：登录页面地址（/login.jsp）<br>5）<strong>successUrl</strong>：登录成功后的默认重定向地址<br>6）<strong>failureKeyAttribute</strong>：登录失败后错误信息存储key(shiroLoginFailure)</td> 
  </tr> 
  <tr> 
   <td align="left"><strong>authcBasic</strong></td> 
   <td align="left">BaseHTTP身份验证过滤器，主要属性：<br><strong>applicationName</strong>：弹出框显示的信息（aoolication）</td> 
  </tr> 
  <tr> 
   <td align="left"><strong>logout</strong></td> 
   <td align="left">退出过滤器，主要属性：<br><strong>redirectUrl</strong>：退出成功后重定向的地址</td> 
  </tr> 
  <tr> 
   <td align="left"><strong>user</strong></td> 
   <td align="left">用户过滤器，用户已经身份验证（或免密登录）都可以，示例：``/**=user`</td> 
  </tr> 
  <tr> 
   <td align="left"><strong>anon</strong></td> 
   <td align="left">匿名过滤器，即不需要登录也可以访问；一般用于静态资源过滤，示例：``/static/**=anon`</td> 
  </tr> 
 </tbody> 
</table>

授权相关的过滤器

<table> 
 <thead> 
  <tr> 
   <th>授权相关的过滤器</th> 
   <th>描述</th> 
  </tr> 
 </thead> 
 <tbody> 
  <tr> 
   <td><strong>roles</strong></td> 
   <td><strong>角色授权过滤器</strong>，验证用户是否拥有角色，主要属性：<br><strong>loginUrl</strong>：登录页面地址<br><strong>unauthorizedUrl</strong>：访问未授权页面重定向到指定地址</td> 
  </tr> 
  <tr> 
   <td><strong>perms</strong></td> 
   <td><strong>授权过滤器</strong>，验证用户是否拥有权限，属性和roles的一样<br><strong>loginUrl</strong>：登录页面地址<br><strong>unauthorizedUrl</strong>：访问未授权页面重定向到指定地址</td> 
  </tr> 
  <tr> 
   <td><strong>port</strong></td> 
   <td><strong>端口过滤器</strong>，主要属性：<br><code>port[端口号]</code>，表示可以通过的端口。（比如：<code>/test=port[80]</code>,如果用户访问的页面是非80，会自动将端口改为80端口，其他路径参数保持一样）</td> 
  </tr> 
  <tr> 
   <td><strong>rest</strong></td> 
   <td>reset风格过滤器，会自动根据请求方法构建权限字符串</td> 
  </tr> 
  <tr> 
   <td>ssl</td> 
   <td>SSL过滤器，<strong>只有请求协议是https才能通过</strong>，否则会自动跳转到https端口（443），其他和port过滤器是一样的。</td> 
  </tr> 
 </tbody> 
</table>

一个特殊过滤器

<table> 
 <thead> 
  <tr> 
   <th align="left">特殊过滤器</th> 
   <th align="left">描述</th> 
  </tr> 
 </thead> 
 <tbody> 
  <tr> 
   <td align="left"><strong>noSessionCreation</strong></td> 
   <td align="left">不创建会话过滤器，调用subject.getSession(false)不会有什么问题，但是如果subject.getSession(true)将抛出异常</td> 
  </tr> 
 </tbody> 
</table>

### 1.2 shiro标签 ###

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQwNTQyNTM0_size_16_color_FFFFFF_t_70_pic_center 1]

## 2. Shiro实现登录认证（判断session有无user信息） ##

> 当用户访问一些页面的时候，需要登录之后（且有权限）才能够访问。  
> 用shiro的过滤器来实现登录认证功能。  
>   
> 1）在项目中使用shiro的认证过滤器进行拦截资源（该拦截的拦截\[没有权限拦截\]，该放行的放行\[一些静态资源放行\]）  
> 2）使用`authc`认证过滤器  
> 必须认证才能访问指定页面，如果未认证一般跳转登录页面。  
> 3）使用`anno`过滤器  
> 对资源进行放行，不需要拦截认证（比如：静态页面等）

### 2.1 拦截路径的三个属性`/ /* /**`区别 ###

> `/` 不会拦截页面，只会拦截路径访问。  
> `/* 和 /**`拦截页面，也拦截路径访问。  
>   
> `/*` 和 `/**`的区别  
> `/*` 拦截所有的文件夹，**不包含子文件夹**（`/*`只有后面一级）  
> `/**` 是**拦截所有的文件夹及里面的子文件夹**（`/**`可以包含多级）

### 2.2 applicationContext-shiro.xml配置登录认证拦截 ###

<bean id="shiroFilter" class="org.apache.shiro.spring.web.ShiroFilterFactoryBean">
            
            <property name="securityManager" ref="securityManager"/>
    
            <property name="filterChainDefinitions" >
                <value>
                    
                     /css/**=anon /img/**=anon /fonts/**=anon /plugins/**=anon /testjsp/**=anon   /system/user/login-shiro=anon  /system/user/login=anon  /login.jsp=anon   /**=authc </value> </property>  <property name="loginUrl" value="/login-shiro.jsp"/> </bean>

### 2.3 Shiro的登录认证（用户名密码验证） ###

**shiro通过抛出异常来验证登录**（登录成功，密码出错，用户不存在三种情况）

> 1）用户名密码正确  
> `User user = (User)subject.getPrincipal()//获取user对象`  
> 2）用户名不存在  
> 程序抛出异常 `UnknownAccountException异常`  
> 3）用户密码错误（不正确）  
> 程序抛出 `IncorrectCredentialsException异常`

**shiro登录认证的login方法编写步骤**

> 1） 获取Subject对象  
> `Subject subject = SecurityUtils.getSubject();`  
> 2）调用Subject的认证方法  
> AuthRealm的认证方法`subject.login(token);`  
> 【登录login的本质是要调用realm进行查找用户（subject.login()调用securitymanager，然后调用realm）】  
> 3）处理登录的三种结果登录成功，密码出错，用户不存在三种情况）

#### UserController ####

userController的登录功能通地subject连接到securitymanager，再由securityManager去调用realm

//通过url无权限访问跳转shiro登录，如果session中没有user，访问非放行（过滤器没有anon放行）的页面，就跳转login-shiro进行登录 ${path}/system/user/login-shiro
        @RequestMapping(path = "/login-shiro", method = { RequestMethod.GET, RequestMethod.POST})
        public String loginShiro(String email,String password) { 
            //根据 email查询对应的用户
            l.info("登录输入邮箱 loginShiro email " + email);
            l.info("登录输入密码 loginShiro password " + password);
    
            //使用shiro框架进行认证，结果是三种可能（登录成功，密码出错，用户不存在三种情况）
            // 用户不存在抛出异常 UnknownAccountException，密码出错抛出异常 IncorrectCredentialsException
            //其实登录login的本质是需要调用realm进行查找用户（subject.login()调用securitymanager，然后调用realm）
    
            //1. 先获取subject 表示对securitymanager连接
            Subject subject = SecurityUtils.getSubject();//获取连接
    
            //2.调用securitymanager
            //3.再调用realm
    
            //进行身份验证
            UsernamePasswordToken token = new UsernamePasswordToken(email, password);
            try { 
                subject.login(token);//验证正确正确
                //正确
                l.info("用户名密码正确");
                //保存用户信息，要求访问realm返回一个user对象
                User user = (User) subject.getPrincipal();//访问realm返回一个user对象
                session.setAttribute("loginUser",user);
                //查询用户的模块权限，显示到右侧的导航栏，一个 Module对象 就是左侧栏上的一个菜单项
                List<Module> menus = iModuleService.findModulesByUser(user);
                session.setAttribute("menus",menus);
                l.info("登录用户权限模块个数 = "+ menus.size() +"login menus "+menus);
                //登录成功，跳到主页
                return "redirect:/home/toMain";
            } catch (UnknownAccountException e) { //用户不存在，抛出异常UnknownAccountException
                e.printStackTrace();
                l.info("用户(邮箱)不存在");
                request.setAttribute("error","用户（邮箱）不存在");
                return "forward:/login-shiro.jsp";  //重定向到登录
            }catch (IncorrectCredentialsException e){ //密码出错，抛出异常IncorrectCredentialsException
                e.printStackTrace();
                l.info("密码错误");
                request.setAttribute("error","邮箱或者密码不对，请重新输入");
                return "forward:/login-shiro.jsp";
            }
        }

### 2.4 AuthRealm配置认证Authorization（认证账号密码） ###

//shiro的一个能够查询权限的类
    //不需要再添加@Component,因为在xml中使用bean标签配置了（已经创建了实例）
    //继承授权AuthorizingRealm类，AuthorizingRealm两大功能： 认证（登录账号密码）和 授权（查用户有什么权限）
    public class AuthRealm extends AuthorizingRealm { 
    
        @Autowired
        IUserService userService;
    
        //日志
        private Logger l = LoggerFactory.getLogger(this.getClass());
        //spring通过反射调用无参构造函数（创建对象）
        public AuthRealm(){ 
            l.info("AuthRealm 无参构造函数");
        }
        //授权（查用户有什么权限）
        @Override
        protected AuthorizationInfo doGetAuthorizationInfo(PrincipalCollection principalCollection) { 
            l.info("AuthRealm doGetAuthorizationInfo 【授权】函数执行查用户有什么权限）");
            return null;
        }
        //认证（登录账号密码）
        @Override
        protected AuthenticationInfo doGetAuthenticationInfo(AuthenticationToken token) throws AuthenticationException { 
            l.info("AuthRealm doGetAuthenticationInfo 【认证】函数执行（登录账号密码）");
    
            //响应login方法和getPrincipal方法的调用 subject.login(token) （UserController类）
            UsernamePasswordToken usernamePasswordToken = (UsernamePasswordToken) token;
    
            String email = usernamePasswordToken.getUsername();
            l.info("doGetAuthenticationInfo --" + email);
            //调service读dao
            User user = userService.findUserByEmail(email);
            l.info("doGetAuthenticationInfo --" + user);
            if (user == null) { 
                //用户不存在
                return null;//返回null，系统会将null转成UnknownAccountException异常抛出抛出
            } else { 
                //用户存在的
                //AuthenticationInfo 返回给 User user = (User) subject.getPrincipal();（UserController类）
                /** 参数1：principal，存放用户登录信息，subject.getPrincipal()获取 参数2：数据库的密码 参数3：realm的别名，只有在多个Realm的时候才会用，一般不用 */
                AuthenticationInfo info = new SimpleAuthenticationInfo(user, user.getPassword(), "");
                return info;
            }
        }
    }

### 2.5 login-shiro.jsp验证无登录跳转shiro登录页面 ###

<%-- shiro登录页面，shiro判断session中是否有user，没有就跳转这个页面 --%>
    <%@ page contentType="text/html; charset=utf-8"%>
    <!DOCTYPE html>
    <html>
    
    <head>
        <meta charset="utf-8">
        <meta http-equiv="X-UA-Compatible" content="IE=edge">
        <title>SaaS-Export|shiro登录页面</title>
    
        <%-- 项目路径 --%>
        <% pageContext.setAttribute("path",request.getContextPath());%>
        <meta content="width=device-width,initial-scale=1,maximum-scale=1,user-scalable=no" name="viewport">
        <link rel="stylesheet" href="${path}/plugins/bootstrap/css/bootstrap.min.css">
        <link rel="stylesheet" href="${path}/plugins/font-awesome/css/font-awesome.min.css">
        <link rel="stylesheet" href="${path}/plugins/ionicons/css/ionicons.min.css">
        <link rel="stylesheet" href="${path}/plugins/adminLTE/css/AdminLTE.css">
        <link rel="stylesheet" href="${path}/plugins/iCheck/square/blue.css">
    
    </head>
    
    <script> window.onload = function () { if (window.parent.window != window) { window.top.location = "/login.jsp"; } } </script>
    
    <body class="hold-transition login-page">
    <div class="login-box">
        <div class="login-logo">
            <a href="all-admin-index.html">SaaS外贸出口云平台</a>
        </div>
        
        <div class="login-box-body">
            <p class="login-box-msg">登录系统</p>
            
            <form action="${path}/system/user/login-shiro" method="post">
                
                <div class="" style="color: red;margin-bottom: 20px">${error}</div>
    
                <div class="form-group has-feedback">
                    
                    <input type="email" name="email" class="form-control" placeholder="请输入您的Email邮箱">
                    <span class="glyphicon glyphicon-envelope form-control-feedback"></span>
                </div>
                <div class="form-group has-feedback">
                    <input type="password" name="password" class="form-control" placeholder="请输入您的密码">
                    <span class="glyphicon glyphicon-lock form-control-feedback"></span>
                </div>
                <div class="row">
                    <div class="col-xs-8">
                        <div class="checkbox icheck">
                            <div class="checkbox icheck">
                                <label><input type="checkbox"> 记住密码 下次自动登录</label>
                            </div>
                        </div>
                    </div>
                    <div class="col-xs-4">
                        
                        <button type="submit" class="btn btn-primary btn-block btn-flat">登录</button>
                    </div>
                </div>
            </form>
            <div class="social-auth-links text-center">
                <p>- 或者 -</p>
                <a href="#" class="btn btn-block btn-social btn-facebook btn-flat"><i class="fa fa-qq"></i> QQ登录</a>
                <a href="#" class="btn btn-block btn-social btn-google btn-flat"><i class="fa fa-weixin"></i> 微信登录</a>
                <br/>
                <a href="#" title="密码忘记啦，点我找回试试" style="font-size: 16px">忘记密码？</a>
                  
                <a href="all-admin-register.html" class="text-center" title="注册成为新用户" style="font-size: 16px">新用户注册</a>
            </div>
        </div>
    </div>
    <script src="${path}/plugins/jQuery/jquery-2.2.3.min.js"></script>
    <script src="${path}/plugins/bootstrap/js/bootstrap.min.js"></script>
    <script src="${path}/plugins/iCheck/icheck.min.js"></script>
    <script> $(function() { $('input').iCheck({ checkboxClass: 'icheckbox_square-blue', radioClass: 'iradio_square-blue', increaseArea: '20%' // optional }); }); </script>
    </body>
    </html>

### 2.6 效果 ###

访问非放行的页面（applicationContext-shiro中没有配置为anon放行的，就会进行session中是否有user验证，没有就跳转到login-shiro.jsp登录页面）

![在这里插入图片描述][20201109214202167.gif_pic_center]

[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQwNTQyNTM0_size_16_color_FFFFFF_t_70_pic_center]: /images/20221120/dc2bb61c1867492db8d1ea5045db1d69.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQwNTQyNTM0_size_16_color_FFFFFF_t_70_pic_center 1]: https://img-blog.csdnimg.cn/20201109193511229.png?x-oss-process=image/watermark,type_ZmFuZ3poZW5naGVpdGk,shadow_10,text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQwNTQyNTM0,size_16,color_FFFFFF,t_70#pic_center
[20201109214202167.gif_pic_center]: https://img-blog.csdnimg.cn/20201109214202167.gif#pic_center