shiro中Filter过滤器管理

一时失言乱红尘 2022-01-21 21:25 330阅读 0赞

**过滤器类继承关系 **

![image.png][]

**NameableFilter**  
NameableFilter给Filter起个名字，如果没有设置默认就是FilterName；还记得之前的如authc吗？当我们组装拦截器链时会根据这个名字找到相应的拦截器实例；

**OncePerRequestFilter**  
OncePerRequestFilter用于防止多次执行Filter的；也就是说一次请求只会走一次拦截器链；另外提供enabled属性，表示是否开启该拦截器实例，默认enabled=true表示开启，如果不想让某个拦截器工作，可以设置为false即可。

**AdviceFilter**  
AdviceFilter提供了AOP风格的支持，类似于SpringMVC中的Interceptor

boolean preHandle(ServletRequest request, ServletResponse response) throws Exception  
     void postHandle(ServletRequest request, ServletResponse response) throws Exception  
     void afterCompletion(ServletRequest request, ServletResponse response, Exception exception) throws Exception;

**PathMatchingFilter**

PathMatchingFilter提供了基于Ant风格的请求路径匹配功能及拦截器参数解析的功能，如“roles\[admin,user\]”自动根据“，”分割解析到一个路径参数配置并绑定到相应的路径：

boolean pathsMatch(String path, ServletRequest request)  
     boolean onPreHandle(ServletRequest request, ServletResponse response, Object mappedValue) throws Exception

pathsMatch：该方法用于path与请求路径进行匹配的方法；如果匹配返回true  
onPreHandle：在preHandle中，当pathsMatch匹配一个路径后，会调用opPreHandler方法并将路径绑定参数配置传给mappedValue；然后可以在这个方法中进行一些验证（如角色授权），如果验证失败可以返回false中断流程；默认返回true；也就是说子类可以只实现onPreHandle即可，无须实现preHandle。如果没有path与请求路径匹配，默认是通过的（即preHandle返回true）。

**AccessControlFilter**

AccessControlFilter提供了访问控制的基础功能；比如是否允许访问/当访问拒绝时如何处理等：

abstract boolean isAccessAllowed(ServletRequest request, ServletResponse response, Object mappedValue) throws Exception;   boolean onAccessDenied(ServletRequest request, ServletResponse response, Object mappedValue) throws Exception;  
    abstract boolean onAccessDenied(ServletRequest request, ServletResponse response) throws Exception;

isAccessAllowed：表示是否允许访问；mappedValue就是\[urls\]配置中拦截器参数部分，如果允许访问返回true，否则false；  
onAccessDenied：表示当访问拒绝时是否已经处理了；如果返回true表示需要继续处理；如果返回false表示该拦截器实例已经处理了，将直接返回即可。

onPreHandle会自动调用这两个方法决定是否继续处理：

boolean onPreHandle(ServletRequest request, ServletResponse response, Object mappedValue) throws Exception {  
        return isAccessAllowed(request, response, mappedValue) || onAccessDenied(request, response, mappedValue); 
    }

另外AccessControlFilter还提供了如下方法用于处理如登录成功后/重定向到上一个请求：

void setLoginUrl(String loginUrl) //身份验证时使用，默认/login.jsp  
      String getLoginUrl()  
      Subject getSubject(ServletRequest request, ServletResponse response) //获取Subject实例  
      boolean isLoginRequest(ServletRequest request, ServletResponse response)//当前请求是否是登录请求  
      
     void saveRequestAndRedirectToLogin(ServletRequest request, ServletResponse response) throws IOException //将当前请求保存起来并重定向到登录页面    
     void saveRequest(ServletRequest request) //将请求保存起来，如登录成功后再重定向回该请求   
     void redirectToLogin(ServletRequest request, ServletResponse response) //重定向到登录页面

比如基于表单的身份验证就需要使用这些功能。 到此基本的拦截器就完事了，如果我们想进行访问访问的控制就可以继承AccessControlFilter；如果我们要添加一些通用数据我们可以直接继承PathMatchingFilter。

**AuthorizationFilter**  
AuthorizationFilter实现了AccessControlFilter的onAccessDenied方法

//访问拒绝才会进来此方法
    protected boolean onAccessDenied(ServletRequest request, ServletResponse response) throws IOException {
            Subject subject = getSubject(request, response);
            if (subject.getPrincipal() == null) {
                // 如果未登录，保存当前页面，重定向到登录页面
                saveRequestAndRedirectToLogin(request, response);
            } else {
                //匿名访问地址
                String unauthorizedUrl = getUnauthorizedUrl();
                if (StringUtils.hasText(unauthorizedUrl)) {
                    //如果匿名访问地址存在，则跳转去匿名访问地址
                    WebUtils.issueRedirect(request, response, unauthorizedUrl);
                } else {
                    //不存在则返回404
                    WebUtils.toHttp(response).sendError(HttpServletResponse.SC_UNAUTHORIZED);
                }
            }
            return false;
        }

**ShiroFilterFactoryBean**  
当我们写好了自定义Filter后，如何在Shiro中使用它呢？在config类中注入ShiroFilter的bean

/**
         * ShiroFilter主要配置
          * @param securityManager
         * @return
         */
        @Bean
        public ShiroFilterFactoryBean shiroFilter (SecurityManager securityManager){
            ShiroFilterFactoryBean shiroFilterFactoryBean = new ShiroFilterFactoryBean();
            shiroFilterFactoryBean.setSecurityManager(securityManager);
    
            //自定义拦截器
            Map<String, Filter> filtersMap = new LinkedHashMap<String, Filter>();
            filtersMap.put("roleOrFilter", roleOrFilter());
            shiroFilterFactoryBean.setFilters(filtersMap);
    
            Map<String, String> filterChainDefinitionMap = new LinkedHashMap<String, String>();
            //注意过滤器配置顺序 不能颠倒
            //配置退出 过滤器,其中的具体的退出代码Shiro已经替我们实现了，登出后跳转配置的loginUrl
            filterChainDefinitionMap.put("/logout", "logout");
            // 配置不会被拦截的链接 顺序判断
            //filterChainDefinitionMap.put("/hello", "anon");
            filterChainDefinitionMap.put("/ajaxLogin", "anon");
            filterChainDefinitionMap.put("/testRole", "anon");
            filterChainDefinitionMap.put("/**", "roleOrFilter[admin,admin1]");
            //自动跳去登录的地址
            shiroFilterFactoryBean.setLoginUrl("/login");
            //上面提到的匿名地址
            //shiroFilterFactoryBean.setUnauthorizedUrl();
            shiroFilterFactoryBean.setFilterChainDefinitionMap(filterChainDefinitionMap);
            return shiroFilterFactoryBean;
        }

这样我们在访问对应的请求时，就会先调用shiro的filter。

<table> 
 <thead> 
  <tr> 
   <th>默认拦截器名</th> 
   <th>拦截器类</th> 
   <th>说明（括号里的表示默认值）</th> 
  </tr> 
 </thead> 
 <tbody> 
  <tr> 
   <td><strong>身份验证相关的</strong></td> 
   <td>&nbsp;</td> 
   <td>&nbsp;</td> 
  </tr> 
  <tr> 
   <td>authc</td> 
   <td>org.apache.shiro.web.filter.authc.FormAuthenticationFilter</td> 
   <td>基于表单的拦截器；如“/**=authc”，如果没有登录会跳到相应的登录页面登录；主要属性：usernameParam：表单提交的用户名参数名（ username）； passwordParam：表单提交的密码参数名（password）； rememberMeParam：表单提交的密码参数名（rememberMe）； loginUrl：登录页面地址（/login.jsp）；successUrl：登录成功后的默认重定向地址； failureKeyAttribute：登录失败后错误信息存储key（shiroLoginFailure）；</td> 
  </tr> 
  <tr> 
   <td>authcBasic</td> 
   <td>org.apache.shiro.web.filter.authc.BasicHttpAuthenticationFilter</td> 
   <td>Basic HTTP身份验证拦截器，主要属性： applicationName：弹出登录框显示的信息（application）；</td> 
  </tr> 
  <tr> 
   <td>logout</td> 
   <td>org.apache.shiro.web.filter.authc.LogoutFilter</td> 
   <td>退出拦截器，主要属性：redirectUrl：退出成功后重定向的地址（/）</td> 
  </tr> 
  <tr> 
   <td>user</td> 
   <td>org.apache.shiro.web.filter.authc.UserFilter</td> 
   <td>用户拦截器，用户已经身份验证/记住我登录的都可；</td> 
  </tr> 
  <tr> 
   <td>anon</td> 
   <td>org.apache.shiro.web.filter.authc.AnonymousFilter</td> 
   <td>匿名拦截器，即不需要登录即可访问；一般用于静态资源过滤；示例“/static/**=anon”</td> 
  </tr> 
  <tr> 
   <td><strong>授权相关的</strong></td> 
   <td>&nbsp;</td> 
   <td>&nbsp;</td> 
  </tr> 
  <tr> 
   <td>roles</td> 
   <td>org.apache.shiro.web.filter.authz.RolesAuthorizationFilter</td> 
   <td>角色授权拦截器，验证用户是否拥有所有角色；主要属性： loginUrl：登录页面地址（/login.jsp）；unauthorizedUrl：未授权后重定向的地址；示例“/admin/**=roles[admin]”</td> 
  </tr> 
  <tr> 
   <td>perms</td> 
   <td>org.apache.shiro.web.filter.authz.PermissionsAuthorizationFilter</td> 
   <td>权限授权拦截器，验证用户是否拥有所有权限；属性和roles一样；示例“/user/**=perms["user:create"]”</td> 
  </tr> 
  <tr> 
   <td>port</td> 
   <td>org.apache.shiro.web.filter.authz.PortFilter</td> 
   <td>端口拦截器，主要属性：port（80）：可以通过的端口；示例“/test= port[80]”，如果用户访问该页面是非80，将自动将请求端口改为80并重定向到该80端口，其他路径/参数等都一样</td> 
  </tr> 
  <tr> 
   <td>rest</td> 
   <td>org.apache.shiro.web.filter.authz.HttpMethodPermissionFilter</td> 
   <td>rest风格拦截器，自动根据请求方法构建权限字符串（GET=read, POST=create,PUT=update,DELETE=delete,HEAD=read,TRACE=read,OPTIONS=read, MKCOL=create）构建权限字符串；示例“/users=rest[user]”，会自动拼出“user:read,user:create,user:update,user:delete”权限字符串进行权限匹配（所有都得匹配，isPermittedAll）；</td> 
  </tr> 
  <tr> 
   <td>ssl</td> 
   <td>org.apache.shiro.web.filter.authz.SslFilter</td> 
   <td>SSL拦截器，只有请求协议是https才能通过；否则自动跳转会https端口（443）；其他和port拦截器一样；</td> 
  </tr> 
 </tbody> 
</table>

# 拦截器配置 #

<property name="filterChainDefinitions">
                <value>
                    /login.jsp = anon
                    /shiro/login = anon
                    /shiro/logout = logout
                    
                    /user.jsp = roles[user]
                    /admin.jsp = roles[admin]
                    
                    # everything else requires authentication:
                    /** = authc
                </value>
            </property>

*  支持Ant风格模式
 *  `?` : 匹配一个字符
 *  `*` : 匹配零个或多个字符串
 *  `**` : 匹配零个或者多个路径

# url权限匹配顺序 #

*  采用**第一次匹配优先的方式**  
    即从开始使用第一个匹配的url模式对应的拦截器链  
    如:

- /bb/**=filter1
       - /bb/aa=filter2
       - /**=filter3

*  如果请求的url是"/bb/aa",那么将使用filter1进行拦截(没错我没有写错)

#  过滤器的意义 #

1.  ## 无参 ##

*  `/admin/** = anon` ：无参，表示可匿名访问
 *  `/admin/user/** = authc` ：无参，表示需要认证才能访问
 *  `/admin/user/** = authcBasic` ：无参，表示需要httpBasic认证才能访问
 *  `/admin/user/** = ssl` ：无参，表示需要安全的URL请求，协议为https
 *  `/home = user` ：表示用户不一定需要通过认证，只要曾被 Shiro 记住过登录状态就可以正常发起 /home 请求

1.  ## 必须认证 ##

*  `/edit = authc,perms[admin:edit]` ：表示用户必需已通过认证，并拥有 admin:edit 权限才可以正常发起 /edit 请求
 *  `/admin = authc,roles[admin]` ：表示用户必需已通过认证，并拥有 admin 角色才可以正常发起 /admin 请求
 *  `/admin/user/** = port[8081]` ：当请求的URL端口不是8081时，跳转到`schemal://serverName:8081?queryString`
 *  `/admin/user/** = rest[user]` ：根据请求方式来识别，相当于 /admins/user/\*\*=perms\[user:get\]或perms\[user:post\] 等等
 *  `/admin** = roles["admin,guest"]` ：允许多个参数（逗号分隔），此时要全部通过才算通过，相当于hasAllRoles()
 *  `/admin** = perms["user:add:*,user:del:*"]`：允许多个参数（逗号分隔），此时要全部通过才算通过，相当于isPermitedAll()

1.  ## 退出登录 ##

*  `/logout = logout`

[image.png]: https://user-gold-cdn.xitu.io/2018/12/16/167b6148d2547504?imageView2/0/w/1280/h/960/format/webp/ignore-error/1