核心文件是src/main/java/org/linlinjava/litemall/admin/web/AdminAuthController.java
进入文件，找到登录验证请求的/admin/auth/login映射。
这里面主要包含了shrio安全框架的知识。我在这里卡了很长时间。
另外：springboot开启跨域这个知识点比较固定，就没写日志。
@RestController
@RequestMapping("/admin/auth")
@Validated
public class AdminAuthController {
private final Log logger = LogFactory.getLog(AdminAuthController.class); //控制台打印日志类
@Autowired
private LitemallAdminService adminService; //获取管理员帐号，密码，头像等信息。
@Autowired
private LitemallRoleService roleService; //获取角色。
@Autowired
private LitemallPermissionService permissionService; //获取每个角色的权限。
@Autowired
private LogHelper logHelper; //关于LogHelper。其实就是操作数据库的一个service。
/*
* { username : value, password : value }
*/
@PostMapping("/login")
public Object login(@RequestBody String body, HttpServletRequest request) {
String username = JacksonUtil.parseString(body, "username");
String password = JacksonUtil.parseString(body, "password");
if (StringUtils.isEmpty(username) || StringUtils.isEmpty(password)) {
return ResponseUtil.badArgument();
}
Subject currentUser = SecurityUtils.getSubject();
try {
//构建对象进行密码验证，该函数执行会调用src/main/java/org/linlinjava/litemall/admin/shiro/AdminAuthorizingRealm.java
//中的doGetAuthenticationInfo函数。
currentUser.login(new UsernamePasswordToken(username, password));
} catch (UnknownAccountException uae) {
logHelper.logAuthFail("登录", "用户帐号或密码不正确");
return ResponseUtil.fail(ADMIN_INVALID_ACCOUNT, "用户帐号或密码不正确");
} catch (LockedAccountException lae) {
logHelper.logAuthFail("登录", "用户帐号已锁定不可用");
return ResponseUtil.fail(ADMIN_INVALID_ACCOUNT, "用户帐号已锁定不可用");
} catch (AuthenticationException ae) {
logHelper.logAuthFail("登录", "认证失败");
return ResponseUtil.fail(ADMIN_INVALID_ACCOUNT, "认证失败");
}
//通过shrio获取当前用户信息。
currentUser = SecurityUtils.getSubject();
//刷新用户表信息。
LitemallAdmin admin = (LitemallAdmin) currentUser.getPrincipal();
admin.setLastLoginIp(IpUtil.getIpAddr(request));
admin.setLastLoginTime(LocalDateTime.now());
adminService.updateById(admin);
//写入数据库日志
logHelper.logAuthSucceed("登录");
// 将用户信息返回到前端后台。
Map<String, Object> adminInfo = new HashMap<String, Object>();
adminInfo.put("nickName", admin.getUsername());
adminInfo.put("avatar", admin.getAvatar());
//最重要的一点，将当前登录后的Session写回到前端后台，当前端再发起请求时，
//会调用src/main/java/org/linlinjava/litemall/admin/shiro/AdminWebSessionManager.java
//中的getSessionId获取前端通过http头发送过来的session，交由后台验证当前的登录状态和权限。
Map<Object, Object> result = new HashMap<Object, Object>();
result.put("token", currentUser.getSession().getId());
result.put("adminInfo", adminInfo);
return ResponseUtil.ok(result);
}
｝
litemall前后端分离的总结。
这篇文章创建的比较早，但其实是在完成4.04后才补充完毕的。大体上也了解了整体上的思路。
在传统前后端不分离的项目中。session与http申请都在一个后台中，所以可以统一处理这些关系。
但分离后，会有跨域的问题，即浏览器在加载一个服务器的资源后，访问另一个服务器的资源。
我一直以为这个问题。。。没什么好解释的，但仔细想来，也没这么简单。
首先说下vue后台的理解。vue后台，只是提供给浏览器相应的html和js代码。浏览器的运行状态如何，
vue后台是一点也不知道，一点也不管的。我曾经有个问题，就是vuex保存java后台的session，会不会
不同用户导致混乱，想明白这个问题后答案就很明确了。vuex本身就是保存在浏览器的，每个浏览器
都有一个实例。肯定不会发生混乱。
那么第二个问题来了，既然vue相关代码全都是运行在浏览器的，所有http请求，包括登录都是全部发往java后台的。
session为什么会有失效的问题呢？
我搜了好久，但更多的是讲处理办法，而非本质原因。
个人感觉这篇文章讲的很好。
首先我们先了解http是无状态协议。压根就不知道一个申请过来，这个申请的发起者
有没有登录过。所以有了cookie与session。
cookie是保存在浏览器端的。session是保存在服务器端的。
当一个浏览器发起连接，服务器创建一个session。该浏览器登录成功，服务器在session里设置一个属性标识该用户登录。
之后，将sessionID返回给客户，保存在浏览器中。当该浏览器再次发起请求，并且带着这个sessionID，服务器根据该ID检测，
该用户是否已经进行了登录，再进行后续操作。
那么回到session失效的问题。
我们登录页的后台地址实际上是vue后台，而登录的地址却是向java后台发申请。
这时候浏览器的同源策略就会阻止cookie的一些操作。因为这会带来风险，这篇文章有简单描述。
但是，我现在并不详细地了解这边是怎么具体操作的，是阻止java后台向当前vue后台的cookie里写内容。
或者阻止在向java后台发起http请求时，读内容。我想应该是前者。
但这边传统的session策略肯定是失效的。
回到litemall权限验证上来。当我们想java后台发出登录请求，java后台返回session后，我们
直接将session写入到了vuex中。当再向java后台发出http请求，从vuex中读取该session代替浏览器默认的session。
这也是为什么java后台要重写src/main/java/org/linlinjava/litemall/admin/shiro/AdminWebSessionManager.java。
就是在读取session是，不读取默认的sessionID，而是使用http请求头中的X-Litemall-Admin-Token代替了session。
到这里登录验证应该差不多写完了。
我在读登录验证以前，一直以为权限验证是登录时直接把权限返回的，现在看来并不是。接下来阅读权限验证的源码。