Shiro 提供了與 Web 集成的支持，其通過一個 ShiroFilter 入口來攔截需要安全控制的 URL，然后進行相應的控制，ShiroFilter 類似于如 Strut2/SpringMVC 這種 web 框架的前端控制器，其是安全控制的入口點，其負責讀取配置（如 ini 配置文件），然后判斷 URL 是否需要登錄 / 權限等工作。 ## 7.1 準備環境 **1、創建 webapp 應用** 此處我們使用了 jetty-maven-plugin 和 tomcat7-maven-plugin 插件；這樣可以直接使用 “mvn jetty:run” 或“mvn tomcat7:run”直接運行 webapp 了。然后通過 URL <http://localhost:8080/chapter7/> 訪問即可。 **2、依賴** Servlet3 ``` xml <dependency> <groupId>javax.servlet</groupId> <artifactId>javax.servlet-api</artifactId> <version>3.0.1</version> <scope>provided</scope> </dependency> ``` Servlet3 的知識可以參考 [](https://github.com/zhangkaitao/servlet3-showcase)<https://github.com/zhangkaitao/servlet3-showcase> 及 Servlet3 規范 [](http://www.iteye.com/blogs/subjects/Servlet-3-1)<http://www.iteye.com/blogs/subjects/Servlet-3-1>。 shiro-web ``` xml <dependency> <groupId>org.apache.shiro</groupId> <artifactId>shiro-web</artifactId> <version>1.2.2</version> </dependency> ``` 其他依賴請參考源碼的 pom.xml。 ## 7.2 ShiroFilter 入口 **1、Shiro 1.1 及以前版本配置方式** ``` xml <filter> <filter-name>iniShiroFilter</filter-name> <filter-class>org.apache.shiro.web.servlet.IniShiroFilter</filter-class> <init-param> <param-name>configPath</param-name> <param-value>classpath:shiro.ini</param-value> </init-param> </filter> <filter-mapping> <filter-name>iniShiroFilter</filter-name> <url-pattern>/*</url-pattern> </filter-mapping> ``` 1. 使用 IniShiroFilter 作為 Shiro 安全控制的入口點，通過 url-pattern 指定需要安全的 URL； 2. 通過 configPath 指定 ini 配置文件位置，默認是先從 /WEB-INF/shiro.ini 加載，如果沒有就默認加載 classpath:shiro.ini，即默認相對于 web 應用上下文根路徑； 3. 也可以通過如下方式直接內嵌 ini 配置文件內容到 web.xml。 ``` xml <init-param> <param-name>config</param-name> <param-value> ini配置文件貼在這 </param-value> </init-param> ``` **2、Shiro 1.2 及以后版本的配置方式** 從 Shiro 1.2 開始引入了 Environment/WebEnvironment 的概念，即由它們的實現提供相應的 SecurityManager 及其相應的依賴。ShiroFilter 會自動找到 Environment 然后獲取相應的依賴。 ``` <listener> <listener-class>org.apache.shiro.web.env.EnvironmentLoaderListener</listener-class> </listener> ``` 通過 EnvironmentLoaderListener 來創建相應的 WebEnvironment，并自動綁定到 ServletContext，默認使用 IniWebEnvironment 實現。 可以通過如下配置修改默認實現及其加載的配置文件位置： ``` xml <context-param> <param-name>shiroEnvironmentClass</param-name> <param-value>org.apache.shiro.web.env.IniWebEnvironment</param-value> </context-param> <context-param> <param-name>shiroConfigLocations</param-name> <param-value>classpath:shiro.ini</param-value> </context-param> ``` shiroConfigLocations 默認是 “/WEB-INF/shiro.ini”，IniWebEnvironment 默認是先從 / WEB-INF/shiro.ini 加載，如果沒有就默認加載 classpath:shiro.ini。 **3、與 Spring 集成** ``` xml <filter> <filter-name>shiroFilter</filter-name> <filter-class>org.springframework.web.filter.DelegatingFilterProxy</filter-class> <init-param> <param-name>targetFilterLifecycle</param-name> <param-value>true</param-value> </init-param> </filter> <filter-mapping> <filter-name>shiroFilter</filter-name> <url-pattern>/*</url-pattern> </filter-mapping> ``` DelegatingFilterProxy 作用是自動到 spring 容器查找名字為 shiroFilter（filter-name）的 bean 并把所有 Filter 的操作委托給它。然后將 ShiroFilter 配置到 spring 容器即可： ``` xml <bean id="shiroFilter" class="org.apache.shiro.spring.web.ShiroFilterFactoryBean"> <property name="securityManager" ref="securityManager"/> <!—忽略其他，詳見與Spring集成部分 --> </bean> ``` 最后不要忘了使用 org.springframework.web.context.ContextLoaderListener 加載這個 spring 配置文件即可。因為我們現在的 shiro 版本是 1.2 的，因此之后的測試都是使用 1.2 的配置。 ## 7.3 Web INI 配置 ini 配置部分和之前的相比將多出對 url 部分的配置。 ``` ini [main] #默認是/login.jsp authc.loginUrl=/login roles.unauthorizedUrl=/unauthorized perms.unauthorizedUrl=/unauthorized [users] zhang=123,admin wang=123 [roles] admin=user:*,menu:* [urls] /login=anon /unauthorized=anon /static/**=anon /authenticated=authc /role=authc,roles[admin] /permission=authc,perms["user:create"] ``` 其中最重要的就是 [urls] 部分的配置，其格式是： “url = 攔截器 [參數]，攔截器[參數]”；即如果當前請求的 url 匹配[urls] 部分的某個 url 模式，將會執行其配置的攔截器。比如 anon 攔截器表示匿名訪問（即不需要登錄即可訪問）；authc 攔截器表示需要身份認證通過后才能訪問；roles[admin]攔截器表示需要有 admin 角色授權才能訪問；而 perms["user:create"]攔截器表示需要有 “user:create” 權限才能訪問。 **url 模式使用 Ant 風格模式** Ant 路徑通配符支持?、\*、\*\*，注意通配符匹配不包括目錄分隔符 “/”： **?：匹配一個字符**，如”/admin?” 將匹配 / admin1，但不匹配 / admin 或 / admin2； **\*：匹配零個或多個字符串**，如 / admin \* 將匹配 / admin、/admin123，但不匹配 / admin/1； **\*\*\：匹配路徑中的零個或多個路徑**，如 / admin/\*\* 將匹配 / admin/a 或 / admin/a/b。 **url 模式匹配順序** url 模式匹配順序是按照在配置中的聲明順序匹配，即從頭開始使用第一個匹配的 url 模式對應的攔截器鏈。如： ``` ini /bb/**=filter1 /bb/aa=filter2 /**=filter3 ``` 如果請求的 url 是 “/bb/aa”，因為按照聲明順序進行匹配，那么將使用 filter1 進行攔截。 攔截器將在下一節詳細介紹。接著我們來看看身份驗證、授權及退出在 web 中如何實現。 ### 身份驗證（登錄） **首先配置需要身份驗證的 url** ``` ini /authenticated=authc /role=authc,roles[admin] /permission=authc,perms["user:create"] ``` 即訪問這些地址時會首先判斷用戶有沒有登錄，如果沒有登錄默會跳轉到登錄頁面，默認是 / login.jsp，可以通過在 [main] 部分通過如下配置修改： ``` ini authc.loginUrl=/login` ``` **登錄 Servlet（com.github.zhangkaitao.shiro.chapter7.web.servlet.LoginServlet）** ``` java @WebServlet(name = "loginServlet", urlPatterns = "/login") public class LoginServlet extends HttpServlet { @Override protected void doGet(HttpServletRequest req, HttpServletResponse resp) throws ServletException, IOException { req.getRequestDispatcher("/WEB-INF/jsp/login.jsp").forward(req, resp); } @Override protected void doPost(HttpServletRequest req, HttpServletResponse resp) throws ServletException, IOException { String error = null; String username = req.getParameter("username"); String password = req.getParameter("password"); Subject subject = SecurityUtils.getSubject(); UsernamePasswordToken token = new UsernamePasswordToken(username, password); try { subject.login(token); } catch (UnknownAccountException e) { error = "用戶名/密碼錯誤"; } catch (IncorrectCredentialsException e) { error = "用戶名/密碼錯誤"; } catch (AuthenticationException e) { //其他錯誤，比如鎖定，如果想單獨處理請單獨catch處理 error = "其他錯誤：" + e.getMessage(); } if(error != null) {//出錯了，返回登錄頁面 req.setAttribute("error", error); req.getRequestDispatcher("/WEB-INF/jsp/login.jsp").forward(req, resp); } else {//登錄成功 req.getRequestDispatcher("/WEB-INF/jsp/loginSuccess.jsp").forward(req, resp); } } } ``` 1. doGet 請求時展示登錄頁面； 2. doPost 時進行登錄，登錄時收集 username/password 參數，然后提交給 Subject 進行登錄。如果有錯誤再返回到登錄頁面；否則跳轉到登錄成功頁面（此處應該返回到訪問登錄頁面之前的那個頁面，或者沒有上一個頁面時訪問主頁）。 3. JSP 頁面請參考源碼。 **測試** 首先輸入 <http://localhost:8080/chapter7/login> 進行登錄，登錄成功后接著可以訪問 <http://localhost:8080/chapter7/authenticated> 來顯示當前登錄的用戶： `${subject.principal} 身份驗證已通過。` 當前實現的一個缺點就是，永遠返回到同一個成功頁面（比如首頁），在實際項目中比如支付時如果沒有登錄將跳轉到登錄頁面，登錄成功后再跳回到支付頁面；對于這種功能大家可以在登錄時把當前請求保存下來，然后登錄成功后再重定向到該請求即可。 Shiro 內置了登錄（身份驗證）的實現：基于表單的和基于 Basic 的驗證，其通過攔截器實現。 ### 基于 Basic 的攔截器身份驗證 **shiro-basicfilterlogin.ini 配置** ``` ini [main] authcBasic.applicationName=please login ………省略users [urls] /role=authcBasic,roles[admin] ``` 1、authcBasic 是 org.apache.shiro.web.filter.authc.BasicHttpAuthenticationFilter 類型的實例，其用于實現基于 Basic 的身份驗證；applicationName 用于彈出的登錄框顯示信息使用，如圖：  2、[urls] 部分配置了 /role 地址需要走 authcBasic 攔截器，即如果訪問 /role 時還沒有通過身份驗證那么將彈出如上圖的對話框進行登錄，登錄成功即可訪問。 **web.xml** 把 shiroConfigLocations 改為 shiro-basicfilterlogin.ini 即可。 **測試** 輸入 <http://localhost:8080/chapter7/role>，會彈出之前的 Basic 驗證對話框輸入 “zhang/123” 即可登錄成功進行訪問。 ### 基于表單的攔截器身份驗證 基于表單的攔截器身份驗證和【1】類似，但是更簡單，因為其已經實現了大部分登錄邏輯；我們只需要指定：登錄地址 / 登錄失敗后錯誤信息存哪 / 成功的地址即可。 **shiro-formfilterlogin.ini** ``` ini [main] authc.loginUrl=/formfilterlogin authc.usernameParam=username authc.passwordParam=password authc.successUrl=/ authc.failureKeyAttribute=shiroLoginFailure [urls] /role=authc,roles[admin] ``` 1、authc 是 org.apache.shiro.web.filter.authc.FormAuthenticationFilter 類型的實例，其用于實現基于表單的身份驗證；通過 loginUrl 指定當身份驗證時的登錄表單；usernameParam 指定登錄表單提交的用戶名參數名；passwordParam 指定登錄表單提交的密碼參數名；successUrl 指定登錄成功后重定向的默認地址（默認是 “/”）（如果有上一個地址會自動重定向帶該地址）；failureKeyAttribute 指定登錄失敗時的 request 屬性 key（默認 shiroLoginFailure）；這樣可以在登錄表單得到該錯誤 key 顯示相應的錯誤消息； **web.xml** 把 shiroConfigLocations 改為 shiro-formfilterlogin.ini 即可。 **登錄 Servlet** ``` @WebServlet(name = "formFilterLoginServlet", urlPatterns = "/formfilterlogin") public class FormFilterLoginServlet extends HttpServlet { @Override protected void doGet(HttpServletRequest req, HttpServletResponse resp) throws ServletException, IOException { doPost(req, resp); } @Override protected void doPost(HttpServletRequest req, HttpServletResponse resp) throws ServletException, IOException { String errorClassName = (String)req.getAttribute("shiroLoginFailure"); if(UnknownAccountException.class.getName().equals(errorClassName)) { req.setAttribute("error", "用戶名/密碼錯誤"); } else if(IncorrectCredentialsException.class.getName().equals(errorClassName)) { req.setAttribute("error", "用戶名/密碼錯誤"); } else if(errorClassName != null) { req.setAttribute("error", "未知錯誤：" + errorClassName); } req.getRequestDispatcher("/WEB-INF/jsp/formfilterlogin.jsp").forward(req, resp); } } ``` 在登錄 Servlet 中通過 shiroLoginFailure 得到 authc 登錄失敗時的異常類型名，然后根據此異常名來決定顯示什么錯誤消息。 **測試** 輸入 `http://localhost:8080/chapter7/role`，會跳轉到 “/formfilterlogin” 登錄表單，提交表單如果 authc 攔截器登錄成功后，會直接重定向會之前的地址 “/role”；假設我們直接訪問 “/formfilterlogin” 的話登錄成功將直接到默認的 successUrl。 ### 授權（角色 / 權限驗證） **shiro.ini** ``` ini [main] roles.unauthorizedUrl=/unauthorized perms.unauthorizedUrl=/unauthorized [urls] /role=authc,roles[admin] /permission=authc,perms["user:create"] ``` 通過 unauthorizedUrl 屬性指定如果授權失敗時重定向到的地址。roles 是 org.apache.shiro.web.filter.authz.RolesAuthorizationFilter 類型的實例，通過參數指定訪問時需要的角色，如 “[admin]”，如果有多個使用 “，” 分割，且驗證時是 hasAllRole 驗證，即且的關系。Perms 是 org.apache.shiro.web.filter.authz.PermissionsAuthorizationFilter 類型的實例，和 roles 類似，只是驗證權限字符串。 **web.xml** 把 shiroConfigLocations 改為 shiro.ini 即可。 **RoleServlet/PermissionServlet** ``` java @WebServlet(name = "permissionServlet", urlPatterns = "/permission") public class PermissionServlet extends HttpServlet { @Override protected void doGet(HttpServletRequest req, HttpServletResponse resp) throws ServletException, IOException { Subject subject = SecurityUtils.getSubject(); subject.checkPermission("user:create"); req.getRequestDispatcher("/WEB-INF/jsp/hasPermission.jsp").forward(req, resp); } } ``` ``` java @WebServlet(name = "roleServlet", urlPatterns = "/role") public class RoleServlet extends HttpServlet { @Override protected void doGet(HttpServletRequest req, HttpServletResponse resp) throws ServletException, IOException { Subject subject = SecurityUtils.getSubject(); subject.checkRole("admin"); req.getRequestDispatcher("/WEB-INF/jsp/hasRole.jsp").forward(req, resp); } } ``` **測試** 首先訪問 `http://localhost:8080/chapter7/login`，使用帳號 “zhang/123” 進行登錄，再訪問 /role 或 /permission 時會跳轉到成功頁面（因為其授權成功了）；如果使用帳號 “wang/123” 登錄成功后訪問這兩個地址會跳轉到 “/unauthorized” 即沒有授權頁面。 ### 退出 **shiro.ini** ``` ini [urls] /logout=anon ``` 指定 /logout 使用 anon 攔截器即可，即不需要登錄即可訪問。 **LogoutServlet** ``` java @WebServlet(name = "logoutServlet", urlPatterns = "/logout") public class LogoutServlet extends HttpServlet { protected void doGet(HttpServletRequest req, HttpServletResponse resp) throws ServletException, IOException { SecurityUtils.getSubject().logout(); req.getRequestDispatcher("/WEB-INF/jsp/logoutSuccess.jsp").forward(req, resp); } } ``` 直接調用 Subject.logout 即可，退出成功后轉發 / 重定向到相應頁面即可。 **測試** 首先訪問 `http://localhost:8080/chapter7/login`，使用帳號 “zhang/123” 進行登錄，登錄成功后訪問 /logout 即可退出。 Shiro 也提供了 logout 攔截器用于退出，其是 org.apache.shiro.web.filter.authc.LogoutFilter 類型的實例，我們可以在 shiro.ini 配置文件中通過如下配置完成退出： ``` ini [main] logout.redirectUrl=/login [urls] /logout2=logout ``` 通過 logout.redirectUrl 指定退出后重定向的地址；通過 /logout2=logout 指定退出 url 是 /logout2。這樣當我們登錄成功后然后訪問 /logout2 即可退出。