Shiro知识复习
来源:互联网 发布:数据库设计思路 编辑:程序博客网 时间:2024/06/13 02:14
1.获取subject和SecurityManager
通过静态工厂类SecurityUtils来获取
2.login逻辑
login是通过表单认证FormAuthenticationFilter,对用户名和密码从request中获取,然后封装成Token传入Realm中进行验证,验证通过则不需要处理验证不通过需要处理逻辑,FormAuthenticationFilter会在request域中存放错误信息注意是调用request的getAttribute方法(key:shiroLoginFailure),logout的逻辑不需要处理,只需要配置
<property name="filterChainDefinitions"><value><!-- 对静态资源设置匿名访问 -->/images/** = anon/js/** = anon/styles/** = anon<!-- 验证码,可匿名访问 -->/validatecode.jsp = anon<!-- 请求 logout.action地址,shiro去清除session-->/logout.action = logout<!--商品查询需要商品查询权限 ,取消url拦截配置,使用注解授权方式 --><!-- /items/queryItems.action = perms[item:query]/items/editItems.action = perms[item:edit] --><!-- 配置记住我或认证通过可以访问的地址 -->/index.jsp = user/first.action = user/welcome.jsp = user<!-- /** = authc 所有url都必须认证通过才可以访问-->/** = authc<!-- /** = anon所有url都可以匿名访问 --></value></property>
/logout.action = logout
LogoutFilter会处理请求为此action的所有请求然后清除session,默认返回路径为“/”
授权使用PermissionsAuthorizationFilter进行
同样在filterChainDefinaition中设置需要访问的url(或者*url)需要对应什么权限
然后PermissionsAuthorizationFilter调用realm的doGetAuthorizationInfo方法获取数据库的正确权限
PermissionsAuthorizationFilter会将xml中配置的权限(或者注解表示的权限)对比(对比方法不在realm的代码中)
如果权限的验证不成功,可以配置shiroFilter中的unauthorizedUrl进行注册跳转页面
<bean id="shiroFilter" class="org.apache.shiro.spring.web.ShiroFilterFactoryBean"><property name="securityManager" ref="securityManager" /><!-- loginUrl认证提交地址,如果没有认证将会请求此地址进行认证,请求此地址将由formAuthenticationFilter进行表单认证 --><property name="loginUrl" value="/login.action" /><!-- 认证成功统一跳转到first.action,建议不配置,shiro认证成功自动到上一个请求路径 --><property name="successUrl" value="/first.action"/><!-- 通过unauthorizedUrl指定没有权限操作时跳转页面--><property name="unauthorizedUrl" value="/refuse.jsp" />配置realm所需要的散列算法,在shiro.xml文件中配置
<!-- realm --><bean id="customRealm" class="cn.itcast.ssm.shiro.CustomRealm"><!-- 将凭证匹配器设置到realm中,realm按照凭证匹配器的要求进行散列 --><property name="credentialsMatcher" ref="credentialsMatcher"/></bean><!-- 凭证匹配器 --><bean id="credentialsMatcher"class="org.apache.shiro.authc.credential.HashedCredentialsMatcher"><property name="hashAlgorithmName" value="md5" /><property name="hashIterations" value="1" /></bean>credentialsMatcher是自定义realm的父类或者父接口的成员变量
使用@requriedPemission权限需要在springmvc.xml中配置AOP代理支持(shiro就是AOP的经典实现)
因为springmvc就是管理controller而我们的shiro@标签就是处理controller的方法,故用之在Spirngmvc.xml
<!-- 开启aop,对类代理 --><aop:config proxy-target-class="true"></aop:config><!-- 开启shiro注解支持 --><beanclass="org.apache.shiro.spring.security.interceptor.AuthorizationAttributeSourceAdvisor"><property name="securityManager" ref="securityManager" /></bean>
也可以这样配置再用一个统一的异常处理器,simpleMappingExceptionResolver处理异常
<!-- 支持Shiro对Controller的方法级AOP安全控制 begin--><bean class="org.springframework.aop.framework.autoproxy.DefaultAdvisorAutoProxyCreator" depends-on="lifecycleBeanPostProcessor"><property name="proxyTargetClass" value="true" /></bean><bean class="org.springframework.web.servlet.handler.SimpleMappingExceptionResolver"><property name="exceptionMappings"><props><prop key="org.apache.shiro.authz.UnauthorizedException">error/403</prop><prop key="java.lang.Throwable">error/500</prop></props></property></bean>
页面中使用shiro标签的requiredPermission只是“”显示不显示“”这个按钮或者输入框等,有权显示无权不显示
授权过程
当调用了controller一个方法,该方法加了requiresPermissions(“”。。“”),shiro会调用realm获取数据库的权限信息,不存在拒绝访问,存在就授权
当展示一个jsp页面时就会,如果某段jsp代码有这个标签,也会调用realm,同上,注意页面上有多少个shiro标签就会调用realm多少次,缓存处理就会很有必要
- Shiro知识复习
- 复习知识
- shiro入门8:Shiro前几章复习
- shiro知识截取
- shiro知识汇总
- shiro知识汇总
- 金融知识复习
- 从零开始复习股票知识
- 操作系统知识复习
- 金融知识复习
- Hibernate知识复习01
- Hibernate知识复习02
- 复习以前的知识
- 二叉树知识复习
- 线程知识复习整理
- 操作系统相关知识复习
- 金融知识复习 1
- 金融知识复习 2
- 我对MVC分层的理解
- POJ1416 切纸片 (DFS
- 判别手机系统是ios还是android
- 调优方法
- 桶排序Bucket sort
- Shiro知识复习
- MFC隐藏模态对话框、
- Android多媒体应用开发系列(一) 拍照
- CentOS 7 开放端口
- SQL中Group By的使用
- 搭建Rop Webservice框架遇见的坑
- iOS 仿 UC 浏览器个人中心 (下拉实现果冻效果)
- iOS 实时监听文件夹的变化
- iOS开发中那些高效常用的宏