基于Shiro的登录功能 设计思路

认证流程

Shiro的认证流程可以看作是个“有窗户黑盒”，

整个流程都有框架控制，对外的入口只有subject.login(token);，这代表“黑盒”

流程中的每一个组件，都可以使用Spring IOC容器里的Bean来替换，以实现拓展化、个性化，这代表“有窗户”。

本示例的认证流程可以参考下图：

（黑色区域中的红箭头线只代表受关注组件的流程，而不是直接调用，实际上Shiro每个流程的组件都是互相解耦的）

黑色区域里的两块白色区域，就是两个自定义的类。

关键代码如下：

    /**
     * 认证
     */
    @Override
    protected AuthenticationInfo doGetAuthenticationInfo(AuthenticationToken authenticationToken)
            throws AuthenticationException {
        UsernamePasswordToken token = (UsernamePasswordToken) authenticationToken;
        String username = token.getUsername();
        AccountPo po = accountMapper.getByUsername(username);
        if (po == null) {
            throw new UnknownAccountException("用户名或密码错误。");
        }
        if (!po.getEnable_flag()) {
            throw new DisabledAccountException("该用户已被禁用。");
        }
        CredentialsDto credentials = new CredentialsDto(po.getPassword(), po.getSalt());
        return new SimpleAuthenticationInfo(username, credentials, getName());
    }

    /**
     * 密码匹配
     */
    @Override
    public boolean doCredentialsMatch(AuthenticationToken authenticationToken, AuthenticationInfo info) {
        UsernamePasswordToken token = (UsernamePasswordToken) authenticationToken;
        String password = new String(token.getPassword());
        CredentialsDto credentials = (CredentialsDto) info.getCredentials();
        String salt = credentials.getSalt();
        String passwordMd5 = DigestUtils.md5Hex(password + salt);
        boolean result = equals(passwordMd5, credentials.getPasswordMd5());
        if (!result) {
            throw new IncorrectCredentialsException("用户名或密码错误。");
        }
        return true;
    }

认证过滤

直接在spring-shiro.xml的shiroFilter.filterChainDefinitions中定义哪些URL需要认证才能访问并不利于维护，

更合适的方法可能是写一个读取器，告诉filterChainDefinitions哪些URL不需要认证即可，需要认证的写在最后

    <bean id="shiroFilter" class="org.apache.shiro.spring.web.ShiroFilterFactoryBean">
        <property name="securityManager" ref="securityManager" />
        <property name="loginUrl" value="/" />
        <property name="unauthorizedUrl" value="/html/unauthorized.html" />
        <property name="filterChainDefinitions">
            <value>
                #{filterChainDefinitionsLoader.anonUrls()}
                /**=authc
            </value>
        </property>
    </bean>

/**
 * Shiro的FilterChainDefinitions配置加载器
 *
 * @author Deolin
 */
public class FilterChainDefinitionsLoader {

    @Autowired
    private UnauthenticationMapper unauthenticationMapper;

    /**
     * 从数据库`unauthorization`表中读取所有匿名URL
     *
     * @return FilterChainDefinitions内容片段
     */
    public String anonUrls() {
        StringBuilder sb = new StringBuilder(400);
        List<String> urls = authenticationMapper.listUrls();
        for (String url : urls) {
            sb.append(url);
            sb.append("=anon");
            sb.append(CRLF);
        }
        return sb.toString();
    }

}

FilterChainDefinitionsLoader.anonUrls()会在项目启动时调用，读取到所有匿名权限URL，

拼接成字符串，返回给filterChainDefinitions

授权配置

采用基于角色的权限设计，一个权限对应一个URL。一个用户间接地拥有多个权限，间接地能够访问多个权限所一一对应的URL。

这样一来，权限会全部配置在spring-shiro.xml的shiroFilter.filterChainDefinitions中，例如：

/html/students-view.html=perms["students-view"]

/student/add=perms["studentAdd"]

/student/list=perms["studentList"]

红蓝部分都是可自定义的，项目中每个涉及到权限的URL，都应该定义，

并保存到数据库`permission`表的name字段和url字段。

即`permission`是张字典表，项目中有多少个涉及到权限的URL，表中就会有多少字段。

授权配置也需要读取器

        <property name="filterChainDefinitions">
            <value>
                #{filterChainDefinitionsLoader.anonUrls()}
                #{filterChainDefinitionsLoader.permsUrls()}
                /**=authc
            </value>
        </property>

    /**
     * 从数据库`permission`表中读取所有权限
     *
     * @return FilterChainDefinitions内容片段
     */
    public String permsUrls() {
        StringBuilder sb = new StringBuilder(400);
        List<PermissionPo> pos = permissionMapper.list();
        for (PermissionPo po : pos) {
            sb.append(po.getUrl());
            sb.append("=perms["");
            sb.append(po.getName());
            sb.append(""]");
            sb.append(CRLF);
        }
        return sb.toString();
    }

授权流程

关键代码如下：

    /**
     * 授权
     */
    @Override
    protected AuthorizationInfo doGetAuthorizationInfo(PrincipalCollection principals) {
        String username = (String) principals.getPrimaryPrincipal();
        SimpleAuthorizationInfo info = new SimpleAuthorizationInfo();
        Set<String> roleNames = accountMapper.listRoleNames(username);
        Set<String> permissionNames = accountMapper.listPermissionNames(username);
        info.setRoles(roleNames);
        info.setStringPermissions(permissionNames);
        return info;
    }

基于过滤器链的认证、权限检查

shiro的filterChainDefinitions是在项目启动是加载的，所以可以通过spel表达式，调用bean的方法，将各种字典表中的URL，拼接起来，返回给filterChainDefinitions，解释为“xxxxURL需要认证才能访问”“xxURL需要yyy的权限才能访问”。

这里需要事先设计好字典表。

自定义过滤器

shiro的自带过滤器，似乎无法处理AJAX请求，至少无法返回项目通用JSON数据结构，比如自带的org.apache.shiro.web.filter.authc.AuthenticationFilter类和org.apache.shiro.web.filter.authz.PermissionsAuthorizationFilter类（它们分别被过滤器链中的authc标识和perms标识所映射），它们各自的onAccessDenied方法，只用重定向处理，而没有返回JSON的处理，所以，需要专门写一些自定义过滤器，以及用于处理AJAX请求的工具类。

/**
 * 为shiro的自定义Filter准备的工具类<br>
 * <br>
 * 用于判断请求是否是AJAX请求和输出JSON
 *
 * @author Deolin
 */
public class FilterUtil {

    public static boolean isAJAX(ServletRequest request) {
        return "XMLHttpRequest".equalsIgnoreCase(((HttpServletRequest) request).getHeader("X-Requested-With"));
    }

    public static void out(ServletResponse response, RequestResult requestResult) {
        ObjectMapper jackson = new ObjectMapper();
        PrintWriter out = null;
        try {
            response.setCharacterEncoding("UTF-8");
            out = response.getWriter();
            out.println(jackson.writeValueAsString(requestResult));
        } catch (Exception e) {} finally {
            if (null != out) {
                out.flush();
                out.close();
            }
        }
    }

}

/**
 * 自定义AccessControlFilter<br>
 * <br>
 * 这个类会在spring-shiro.xml注册为looseAuthc，作为filterChainDefinitions的一个自定义标记，未通过过滤的页面请求会重定向到登录页面，未通过过滤的AJAX请求会返回JSON
 *
 * @author Deolin
 */
public class LooseAuthcFilter extends AccessControlFilter {

    @Override
    protected boolean isAccessAllowed(ServletRequest request, ServletResponse response, Object mappedValue)
            throws Exception {
        Subject subject = getSubject(request, response);
        // “记住我”自动登录 或 输入用户名+密码手动登录
        if (subject.isRemembered() || subject.isAuthenticated()) {
            return true;
        } else {
            return false;
        }
    }

    // 如果isAccessAllowed返回false，则调用这个方法
    @Override
    protected boolean onAccessDenied(ServletRequest request, ServletResponse response) throws Exception {
        if (FilterUtil.isAJAX(request)) {
            // 返回JSON对象，前端根据resp.result=-2跳转到登录页面
            FilterUtil.out(response, RequestResult.unauthenticate());
        } else {
            // 重定向到登录页面
            saveRequestAndRedirectToLogin(request, response);
        }
        return false;
    }

}

项目下载

https://github.com/spldeolin/login-demo