您的位置: 首页  >  IT文章  >  springrain技术详解(一)-shiro基本权限控制

springrain技术详解(一)-shiro基本权限控制

分类: IT文章 • 2024-11-10 20:20:48
springrain技术详解(1)-shiro基本权限控制

shiro是一个非常强大灵活的权限控制框架,属于apache的顶级项目.springrain使用shiro实现了权限控制功能.

 

下图充分说明了shiro的体系架构
springrain技术详解(一)-shiro基本权限控制

归根到底,权限控制无非是利用过滤器控制访问的认证和授权,shiro也不例外.我们来看看shiro是怎么实现的吧.

要在web中使用shiro,总共分三步:

第一步:在web.xml中配置shiro的过滤器,建议是应用的第一个过滤器,springrain示例配置如下:

01 <filter>
02 <filter-name>shiroFilter</filter-name>
03 <filter-class>org.springframework.web.filter.DelegatingFilterProxy</filter-class>
04 <init-param>
05 <param-name>targetFilterLifecycle</param-name>
06 <param-value>true</param-value>
07 </init-param>
08 </filter>
09 <filter-mapping>
10 <filter-name>shiroFilter</filter-name>
11 <url-pattern>/*</url-pattern>
12 <dispatcher>REQUEST</dispatcher>
13 <dispatcher>FORWARD</dispatcher>
14 <dispatcher>INCLUDE</dispatcher>
15 <dispatcher>ERROR</dispatcher>
16 </filter-mapping>

这个shiroFilter其实是个spring bean,等下会重点说这个bean,dispatcher这个标签是为了在forward和redirect的情况下也需要经过过滤器

第二步:配置spring-shiro,springrain配置是applicationContext-shiro.xml

01 <!-- 权限管理器 -->
02 <bean id="securityManager" class="org.apache.shiro.web.mgt.DefaultWebSecurityManager">
03 <!-- 数据库认证的实现 org.springrain.frame.shiro.ShiroDbRealm -->
04 <property name="realm" ref="shiroDbRealm" />
05 <!-- session 管理器 -->
06 <property name="sessionManager" ref="sessionManager" />
07 <!-- 缓存管理器 -->
08 <property name="cacheManager" ref="shiroCacheManager" />
09 </bean>
10 <!-- session管理器 -->
11 <bean id="sessionManager" class="org.apache.shiro.web.session.mgt.DefaultWebSessionManager">
12 <!-- 超时时间 -->
13 <property name="globalSessionTimeout" value="1800000"/>
14 <!-- session存储的实现 -->
15 <property name="sessionDAO" ref="shiroSessionDao"/>
16 <!-- sessionIdCookie的实现,用于重写覆盖容器默认的JSESSIONID -->
17 <property name="sessionIdCookie" ref="sharesession"/>
18 <!-- 定时检查失效的session -->
19 <property name="sessionValidationSchedulerEnabled" value="true" />
20 </bean>
21  
22 <!-- sessionIdCookie的实现,用于重写覆盖容器默认的JSESSIONID -->
23 <bean id="sharesession" class="org.apache.shiro.web.servlet.SimpleCookie">
24 <!-- cookie的name,对应的默认是 JSESSIONID -->
25 <constructor-arg name="name" value="SHAREJSESSIONID"/>
26 </bean>
27 <!-- session存储的实现 -->
28 <bean id="shiroSessionDao" class="org.apache.shiro.session.mgt.eis.EnterpriseCacheSessionDAO" />
29  
30 <!-- 缓存管理实现 -->
31 <bean id="shiroCacheManager" class="org.apache.shiro.cache.MemoryConstrainedCacheManager" />
32  
33 <!-- shiro的主过滤器,beanId 和web.xml中配置的filter name需要保持一致 -->
34 <bean id="shiroFilter" class="org.apache.shiro.spring.web.ShiroFilterFactoryBean"
35 depends-on="frameperms">
36 <!-- 安全管理器 -->
37 <property name="securityManager" ref="securityManager" />
38 <!-- 默认的登陆访问url -->
39 <property name="loginUrl" value="/login" />
40 <!-- 登陆成功后跳转的url -->
41 <property name="successUrl" value="/index" />
42 <!-- 没有权限跳转的url -->
43 <property name="unauthorizedUrl" value="/unauth" />
44 <!-- 访问地址的过滤规则,从上至下的优先级,如果有匹配的规则,就会返回,不会再进行匹配 -->
45 <property name="filterChainDefinitions">
46 <value>
47 /js/** = anon
48 /css/** = anon
49 /images/** = anon
50 /myimg/**= anon
51 /unauth = anon
52 /getCaptcha=anon
53 /login = anon
54 /favicon.ico = anon
55 /index = user
56 /logout = logout
57 /menu/leftMenu=user
58 /**/ajax/** = user
59 /** = user,frameperms
60 </value>
61 </property>
62 <!-- 声明自定义的过滤器 -->
63 <property name="filters">
64 <map>
65 <entry key="frameperms" value-ref="frameperms"></entry>
66 </map>
67 </property>
68 </bean>
69 <!-- 起效权限注解,这个很少在web项目中用到,一般是控制url的访问,不是在controller中声明权限注解 -->
70 <bean id="lifecycleBeanPostProcessor" class="org.apache.shiro.spring.LifecycleBeanPostProcessor" />

frameperms是自定义的过滤器,除了那些特殊url,其他的菜单都在数据库,查询用户权限判断,下一篇文章介绍下权限相关的表结构.
另外不建议在web项目使用类似 admin:user:edit这种方式控制权限,这种方式等同给url又起了一个别名,这样虽然看起来比较容易理解,但是相当死板和麻烦.建议直接使用url判断权限
authc 和 user的区别是 user包含 rememberme,authc不包含,就这一点区别.

第三步:实现数据库认证和权限过滤

数据库认证shiroDbRealm的代码:

http://git.oschina.net/chunanyong/springrain/blob/master/springrain/src/org/springrain/frame/shiro/ShiroDbRealm.java

自定义权限过滤frameperms的代码:

http://git.oschina.net/chunanyong/springrain/blob/master/springrain/src/org/springrain/frame/shiro/FramePermissionsAuthorizationFilter.java

另外 springrain 没有使用authc实现登陆,而是使用一个普通的controller方法进行登陆
org.springrain.frame.controller.BaseController.loginPost(User, HttpSession, Model, HttpServletRequest)
其中
//会调用 shiroDbRealm 的认证方法
//org.springrain.frame.shiro.ShiroDbRealm.doGetAuthenticationInfo(AuthenticationToken)
user.login(token);

本文出自 9iu.org，转载时请注明出处及相应链接。

本文永久链接: http://www.9iu.org/2013/12/10/springrain1-shiro.html

0

相关推荐