Springboot 集成Shiro自定义Filter

网上自定义Filter的实现很多，这里我提供一种Springboot在代码中的实现。

Shiro提供的Filter我这里不一一介绍了，一般基于web会话的都是使用authc(这是FormAuthenticationFilter)。根据我无状态的登陆需求，选择了AccessControlFilter，网上也有说这个是最被广泛使用的，具体还是看自己需求吧。

Filter代码：

/** * @author Created by pangkunkun on 2017/11/18. */public class MyAccessControlFilter extends AccessControlFilter {    private static final Logger log= LoggerFactory.getLogger(MyAccessControlFilter.class);    /**     *     * 表示是否允许访问；mappedValue就是[urls]配置中拦截器参数部分，如果允许访问返回true，否则false；     * (感觉这里应该是对白名单（不需要登录的接口）放行的)     * 如果isAccessAllowed返回true则onAccessDenied方法不会继续执行     * 这里可以用来判断一些不被通过的链接（个人备注）     * * 表示是否允许访问 ，如果允许访问返回true，否则false；     * @param servletRequest     * @param servletResponse     * @param object 表示写在拦截器中括号里面的字符串 mappedValue 就是 [urls] 配置中拦截器参数部分     * @return     * @throws Exception     * */    @Override    public boolean isAccessAllowed(ServletRequest servletRequest, ServletResponse servletResponse, Object object) throws Exception{//        Subject subject = getSubject(servletRequest,servletResponse);//        String url = getPathWithinApplication(servletRequest);//        log.info("当前用户正在访问的 url => " + url);//        log.info("subject.isPermitted(url);"+subject.isPermitted(url));        return false;    }    /**     * 表示当访问拒绝时是否已经处理了；如果返回true表示需要继续处理；如果返回false表示该拦截器实例已经处理了，将直接返回即可。     * onAccessDenied是否执行取决于isAccessAllowed的值，如果返回true则onAccessDenied不会执行；如果返回false，执行onAccessDenied     * 如果onAccessDenied也返回false，则直接返回，不会进入请求的方法（只有isAccessAllowed和onAccessDenied的情况下）     * */    @Override    public boolean onAccessDenied(ServletRequest request, ServletResponse response) throws Exception{        System.out.println("onAccessDenied");        String username=request.getParameter(Constant.CRS_KEY);        String signature=request.getParameter(Constant.SIGNATURE);        String type=request.getParameter("type");        //TODO 通过其它参数验证signature的正确性        String digestValue=MD5Utils.MD5SendParame(signature);        MyUsernamePasswordToken token=new MyUsernamePasswordToken(username,type, digestValue);        Subject subject= SecurityUtils.getSubject();        try {            subject.login(token);        }catch (Exception e){            log.info("登陆失败");            log.info(e.getMessage());            onLoginFail(response);            return false;        }        log.info("登陆成功");        return true;    }

继承这个filter 要实现两个方法，每个方法我都有给出解释。

isAccessAllowed这里，根据从网上找的实现，我感觉这个是类似白名单被放行的。如果有些特殊的url不需要登录，可以直接在这里通过，或者做其它的判断。当然，这里也可以砸Shiro配置中直接把相应的方法对应的filter栏设置成none，同样不会经过这里。

onAccessDenied是我主要逻辑功能处理的模块。在这里主要是UsernamePasswordToken这块，生成token对象后使用subject进行登录，以便后边方法中权限/角色的验证。

将自定义filter集成进shiro配置：

@Bean    public ShiroFilterFactoryBean shirFilter(SecurityManager securityManager){        log.info("ShiroConfiguration.shirFilter()");        ShiroFilterFactoryBean shiroFilterFactoryBean  = new ShiroFilterFactoryBean();        // 必须设置 SecurityManager        shiroFilterFactoryBean.setSecurityManager(securityManager);        //自定义拦截器        Map<String, Filter> filtersMap = new LinkedHashMap<String, Filter>();        filtersMap.put("myAccessControlFilter", new MyAccessControlFilter());        shiroFilterFactoryBean.setFilters(filtersMap);        //拦截器.        Map<String,String> filterChainDefinitionMap = new LinkedHashMap<String,String>();        filterChainDefinitionMap.put("/createPermission", "anon");        filterChainDefinitionMap.put("/**", "myAccessControlFilter");        shiroFilterFactoryBean.setFilterChainDefinitionMap(filterChainDefinitionMap);        return shiroFilterFactoryBean;    }

        //自定义拦截器        Map<String, Filter> filtersMap = new LinkedHashMap<String, Filter>();        filtersMap.put("myAccessControlFilter", new MyAccessControlFilter());        shiroFilterFactoryBean.setFilters(filtersMap);

这块代码是将自定义的拦截器设置进shiro的filterchain中。

filterChainDefinitionMap.put("/**", "myAccessControlFilter");

这里是设置使用自定义拦截器的url。我这里设置的是，如果没有其他拦截器定义的，都有走这个自定义的拦截器。

完整代码可以参考我前面文章Spring Boot集成无状态Shiro–内容详细介绍。