在web环境下搭建shiro框架

上节讲了在JAVA SE环境下搭建shiro框架，这节主要在web环境下搭建shiro框架对web前端页面进行权限的控制。
一，整合spring，springmvc框架。
1.导入spring的相关jar包。
2.配置web.xml文件

<context-param>        <param-name>contextConfigLocation</param-name>        <param-value>classpath:applicationContext.xml</param-value>    </context-param>    <listener>        <listener-class>org.springframework.web.context.ContextLoaderListener</listener-class>    </listener>    <servlet>        <servlet-name>springmvc</servlet-name>        <servlet-class>org.springframework.web.servlet.DispatcherServlet</servlet-class>        <init-param>            <param-name>contextConfigLocation</param-name>            <param-value>classpath:mvc.xml</param-value>        </init-param>        <load-on-startup>1</load-on-startup>    </servlet>    <servlet-mapping>        <servlet-name>springmvc</servlet-name>        <url-pattern>/</url-pattern>    </servlet-mapping>

3.在classpath路径下创建spring的配置文件applicationContext.xml和spring mvc的配置文件mvc.xml
mvc.xml文件

<?xml version="1.0" encoding="UTF-8"?><beans xmlns="http://www.springframework.org/schema/beans"    xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance"    xmlns:p="http://www.springframework.org/schema/p"    xmlns:context="http://www.springframework.org/schema/context"    xmlns:mvc="http://www.springframework.org/schema/mvc"    xsi:schemaLocation="        http://www.springframework.org/schema/beans        http://www.springframework.org/schema/beans/spring-beans.xsd         http://www.springframework.org/schema/context        http://www.springframework.org/schema/context/spring-context.xsd        http://www.springframework.org/schema/mvc        http://www.springframework.org/schema/mvc/spring-mvc-4.0.xsd">     <bean class="org.springframework.web.servlet.view.InternalResourceViewResolver">        <property name="prefix" value="/"></property>        <property name="suffix" value=".jsp"></property>     </bean>        <!-- 配置注解扫描器 -->        <context:component-scan base-package="cn.shinelon.controller"></context:component-scan></beans>

接着自行创建mvc.xml文件，至此，基本完成了spring，springmvc框架的整合
下面，重点是applicationContext.xml文件，以及web.xml文件的配置。

二，整合shiro框架
首先，我们来简单讲解一下shiro框架整合的原理。

对于一个安全框架，它控制着用户对web资源的访问，当服务器启动，用户发来请求，首先应该经过安全验证，哪些资源用户可以直接匿名访问，哪些资源用户需要登录验证身份才能访问，这里我们想到了在web.xml文件中配置过滤器，用户从前台进行请求，首先经过springmvc的servlet请求，请求到相应的资源，这是到了shiro过滤器，必须经过验证，需要强调的时，web.xml文件的filter只是一个代理类DelegatingFilterProxy，它需要到applicationContext.xml文件中找到与filter-name名相同的bean进行权限的管理，这里又有一个问题，为什么要使用代理类，这个类有什么作用？使用代理类可以降低代码的耦合度，提高代码的重用性，比如，你要使用spring security安全框架的时候，web.xml文件中的filter代理类无需更改，它只是一个代理，只需改动相应的bean就可以了，这样一来，在web.xml中对权限的控制有一个总的代理，一切的外来请求首先通过这个代理来进行权限的验证，比如，你要去找一个公司找人，首先要经过前台保卫室的身份认证，经过了验证你就可以找到你要找的人，就是这个道理。在这里有一个代理类DelegatingFilterProxy，首先我们先看一下它的源码：

public class DelegatingFilterProxy extends GenericFilterBean {    private String contextAttribute;    private WebApplicationContext webApplicationContext;    private String targetBeanName;    private boolean targetFilterLifecycle = false;    private volatile Filter delegate;    private final Object delegateMonitor = new Object();    .......    }

首先说一下targetBeanName这个属性，从字面意思上我们可以看出来它是目标bean的名称，也就是说默认情况下，filter-name的名字必须与bean的名字一致，但在这里也可以显示的指出目标bean的名字，也就是说通过设置targetBeanName这个属性的值可以不用使他们的值一致。下面看一段源码就会更加清楚它的工作原理了：

    @Override    protected void initFilterBean() throws ServletException {        synchronized (this.delegateMonitor) {            if (this.delegate == null) {                // If no target bean name specified, use filter name.                if (this.targetBeanName == null) {                    this.targetBeanName = getFilterName();                }                // Fetch Spring root application context and initialize the delegate early,                // if possible. If the root application context will be started after this                // filter proxy, we'll have to resort to lazy initialization.                WebApplicationContext wac = findWebApplicationContext();                if (wac != null) {                    this.delegate = initDelegate(wac);                }            }        }    }

接着，我们来说另一个核心配置，在applicationContext.xml文件中配置SecurityManager。

 <bean id="securityManager" class="org.apache.shiro.web.mgt.DefaultWebSecurityManager">        <property name="cacheManager" ref="cacheManager"/>        <property name="sessionMode" value="native"/>        <!-- realm实现类 -->        <property name="realm" ref="jdbcRealm"/>    </bean>

这里创建securityManager安全管理器bean，它有几个属性，cacheManager这个是缓存管理，这个缓存技术，是hibernate中默认的缓存框架，第二个属性sessionMode这个是session的模式，在这里作用不大，就不做详细讲解了，最后一个属性是real，它引入了一个realm的bean实例，这里我们在src文件中创建一个ShiroRealm类实现realm接口，代码如下：

import org.apache.shiro.authc.AuthenticationException;import org.apache.shiro.authc.AuthenticationInfo;import org.apache.shiro.authc.AuthenticationToken;import org.apache.shiro.realm.Realm;public class ShiroRealm implements Realm {    @Override    public AuthenticationInfo getAuthenticationInfo(AuthenticationToken arg0)            throws AuthenticationException {        // TODO Auto-generated method stub        return null;    }    @Override    public String getName() {        // TODO Auto-generated method stub        return null;    }    @Override    public boolean supports(AuthenticationToken arg0) {        // TODO Auto-generated method stub        return false;    }}

接着在spring配置文件中注入bean

 <bean id="jdbcRealm" class="cn.shinelon.shiro.ShiroRealm"></bean>

然后就是配置cacheManager，这里面需要加入另外一个配置文件ehcache.xml，这个文件读者可以在hibernate的jar包中找到拿到项目的src目录下。

 <bean id="cacheManager" class="org.apache.shiro.cache.ehcache.EhCacheManager">        <property name="cacheManagerConfigFile" value="classpath:ehcache.xml"/>    </bean>

除此之外，applicationContext.xml文件中还有一个重要的配置，就是上文所说的filter代理类的目标bean：

     <bean id="shiroFilter" class="org.apache.shiro.spring.web.ShiroFilterFactoryBean">        <property name="securityManager" ref="securityManager"/>        <property name="loginUrl" value="/logon.jsp"/>        <property name="successUrl" value="/success.jsp"/>        <property name="unauthorizedUrl" value="/error.jsp"/>            <util:map>                <entry key="aName" value-ref="someFilterPojo"/>            </util:map>        </property> -->        <!-- 代表我们要完成的shiro过滤器的具体配置 -->        <property name="filterChainDefinitions">            <value>            <!-- 表示logon.jsp不需要认证即可访问 -->                /logo.jsp = anon            <!-- 除了logon.jsp外，其他的web资源都需要认证才能访问 -->                /** = authc            </value>        </property>    </bean>

第一个属性是引入了安全管理器，第二个属性是登录页面它的值是anon，也就是所有的用户不用登录就可以匿名访问的，不需要任何权限，第三个属性是当登录成功后跳转的页面，最后一个没有经过验证后跳转的页面。

最后，applicationContext.xml中的完整代码如下：

<?xml version="1.0" encoding="UTF-8"?><beans xmlns="http://www.springframework.org/schema/beans"    xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance"    xmlns:p="http://www.springframework.org/schema/p"    xmlns:context="http://www.springframework.org/schema/context"    xmlns:mvc="http://www.springframework.org/schema/mvc"    xmlns:aop="http://www.springframework.org/schema/aop"    xmlns:tx="http://www.springframework.org/schema/tx"    xsi:schemaLocation="        http://www.springframework.org/schema/beans        http://www.springframework.org/schema/beans/spring-beans.xsd         http://www.springframework.org/schema/context        http://www.springframework.org/schema/context/spring-context.xsd        http://www.springframework.org/schema/mvc        http://www.springframework.org/schema/mvc/spring-mvc-4.0.xsd        http://www.springframework.org/schema/aop        http://www.springframework.org/schema/aop/spring-aop.xsd        http://www.springframework.org/schema/tx        http://www.springframework.org/schema/tx/spring-tx.xsd">         <!-- 安全管理器bean:            1.缓存技术：缓存管理cacheManager            2.realm:负责获取存储数据          -->    <bean id="securityManager" class="org.apache.shiro.web.mgt.DefaultWebSecurityManager">        <property name="cacheManager" ref="cacheManager"/>        <property name="sessionMode" value="native"/>        <!-- realm实现类 -->        <property name="realm" ref="jdbcRealm"/>    </bean>    <bean id="jdbcRealm" class="cn.shinelon.shiro.ShiroRealm"></bean>    <!-- 可以使用缓存技术        hibernate中默认的EHCACH缓存框架     -->    <bean id="cacheManager" class="org.apache.shiro.cache.ehcache.EhCacheManager">        <property name="cacheManagerConfigFile" value="classpath:ehcache.xml"/>    </bean>    <!-- =========================================================         Shiro Spring-specific integration         ========================================================= -->     <!-- 必须要有这样的实例，用来管理spring容器当中的shiro常见的对象 -->    <bean id="lifecycleBeanPostProcessor" class="org.apache.shiro.spring.LifecycleBeanPostProcessor"/>      <!-- 启用shiro注解 -->    <bean class="org.springframework.aop.framework.autoproxy.DefaultAdvisorAutoProxyCreator"          depends-on="lifecycleBeanPostProcessor"/>    <bean class="org.apache.shiro.spring.security.interceptor.AuthorizationAttributeSourceAdvisor">        <property name="securityManager" ref="securityManager"/>    </bean>    <!-- 网络方面 -->    <bean id="secureRemoteInvocationExecutor" class="org.apache.shiro.spring.remoting.SecureRemoteInvocationExecutor">        <property name="securityManager" ref="securityManager"/>    </bean>    <!-- 配置shiroFilter        1.shiroFilter这个bean必须与web.xml文件中的filter-name保持一致     -->    <bean id="shiroFilter" class="org.apache.shiro.spring.web.ShiroFilterFactoryBean">        <property name="securityManager" ref="securityManager"/>        <property name="loginUrl" value="/logon.jsp"/>        <property name="successUrl" value="/success.jsp"/>        <property name="unauthorizedUrl" value="/error.jsp"/>            <util:map>                <entry key="aName" value-ref="someFilterPojo"/>            </util:map>        </property> -->        <!-- 代表我们要完成的shiro过滤器的具体配置 -->        <property name="filterChainDefinitions">            <value>            <!-- 表示logon.jsp不需要认证即可访问 -->                /logo.jsp = anon            <!-- 除了logon.jsp外，其他的web资源都需要认证才能访问 -->                /** = authc            </value>        </property>    </bean>     <context:component-scan base-package="cn.shinelon"/></beans>

在这里，shiro使用Ant风格的url匹配规则
/aa?.jsp中的？只匹配一个字符，表示aab.jsp页面，只能匹配b这一个字符。
/aa*.jsp中的 *号表示匹配零个或者多个字符，表示以aa开头的所有jsp页面
/** 是路径，表示匹配web根目录下的所有路径。
shiro中url的匹配顺序采用第一个匹配优先的原则。

接着就是测试了，在根目录下创建相应的登录页面logon.jsp,success.jsp,error.jsp页面，由于没有连接数据库，只做一个简单的测试，我们在浏览器中输入localhost:8080/项目名/logon.jsp时可以直接访问，但是，如果直接访问success.jsp就会重定向到logon.jsp，这说明用户没有权限访问。至此，我们就搭建完了web环境下的shiro框架。