文档章节

给JFinal添加Shiro插件功能,支持Shiro所有注解-使用篇

玛雅牛
 玛雅牛
发布于 2013/06/12 23:41
字数 1096
阅读 27379
收藏 94

基于JDK1.6打包好的包括源码的Shiro插件在以下地址:

http://git.oschina.net/myaniu/jfinalshiroplugin/blob/master/dist/JFinalShiroPlugin-1.0.jar

 

Shiro共有5个注解,分别如下:

  • RequiresAuthentication:使用该注解标注的类,实例,方法在访问或调用时,当前Subject必须在当前session中已经过认证。

  • RequiresGuest:使用该注解标注的类,实例,方法在访问或调用时,当前Subject可以是“gust”身份,不需要经过认证或者在原先的session中存在记录。

  • RequiresPermissions:当前Subject需要拥有某些特定的权限时,才能执行被该注解标注的方法。如果当前Subject不具有这样的权限,则方法不会被执行。

  • RequiresRoles:当前Subject必须拥有所有指定的角色时,才能访问被该注解标注的方法。如果当天Subject不同时拥有所有指定角色,则方法不会执行还会抛出AuthorizationException异常。

  • RequiresUser:当前Subject必须是应用的用户,才能访问或调用被该注解标注的类,实例,方法。

多个注解的问题:

Shiro的认证注解处理是有内定的处理顺序的,如果有个多个注解的话,前面的通过了会继续检查后面的,若不通过则直接返回,处理顺序依次为(与实际声明顺序无关):
RequiresRoles
RequiresPermissions
RequiresAuthentication
RequiresUser
RequiresGuest
例如:你同时生命了RequiresRoles和RequiresPermissions,那就要求拥有此角色的同时还得拥有相应的权限。

 

1)RequiresRoles

 

@Target({ElementType.TYPE, ElementType.METHOD})
@Retention(RetentionPolicy.RUNTIME)
public @interface RequiresRoles {
    String[] value();
    Logical logical() default Logical.AND; 
}

可以用在Controller或者方法上。可以多个roles,默认逻辑为 AND也就是所有具备所有role才能访问。

示例:

 

属于user角色
@RequiresRoles("user")

必须同时属于user和admin角色
@RequiresRoles({"user","admin"})

属于user或者admin之一。
@RequiresRoles(value={"user","admin"},logical=Logical.OR)

2)RequiresPermissions

 

@Target({ElementType.TYPE, ElementType.METHOD})
@Retention(RetentionPolicy.RUNTIME)
public @interface RequiresPermissions {
    String[] value();
    Logical logical() default Logical.AND; 
}

RequiresRoles及其类似,使用如下

 

@RequiresPermissions("index:hello")
@RequiresPermissions({"index:hello","index:world"})
@RequiresPermissions(value={"index:hello","index:world"},logical=Logical.OR)

3)RequiresAuthentication,RequiresUser,RequiresGuest

这三个使用方法类似。

 

@RequiresAuthentication
@RequiresUser
@RequiresGusst

4)这个是本人额外新增的一个注解@ClearShiro,用来清除某个方法上的所有访问控制注解。

这个主要用于某个Controller的绝大部分方法都需要某个角色的权限,但是个别方法例外的情况。

 

@RequiresRoles("user")
public class LoginController extends Controller {
	@ClearShiro
	public void index(){

使用时需要做以下事项:

1)Shiro依赖于slf4j,commons-beanutils,commons-logging三个jar包。

2)public void configConstant(Constants me) { 方法中需加入401,403错误代码处理。

分别对应如下:

RequiresGuest,RequiresAuthentication,RequiresUser,未满足时,抛出未经授权的异常。
如果没有进行身份验证,返回HTTP401状态码

RequiresRoles,RequiresPermissions授权异常,如果没有权限访问对应的资源,返回HTTP状态码403。

 

me.setErrorView(401, "/au/login.html");
me.setErrorView(403, "/au/login.html");
me.setError404View("/404.html");
me.setError500View("/500.html");

3)顶一个routes成员变量。

public class AppConfig extends JFinalConfig {
	/**
	 * 供Shiro插件使用。
	 */
	Routes routes;

4)在configRoute方法中加入this.routes = me;

public void configRoute(Routes me) {
		this.routes = me;
		// TODO Auto-generated method stub
		me.add("/", IndexController.class);
		me.add("/au",AdminUserController.class);

5)public void configPlugin(Plugins me) {方法的最好加入

 

//加载Shiro插件
//me.add(new ShiroPlugin(routes));
ShiroPlugin shiroPlugin = new ShiroPlugin(this.routes);
shiroPlugin.setLoginUrl("/login.do");
shiroPlugin.setSuccessUrl("/index.do");
shiroPlugin.setUnauthorizedUrl("/login.do");
me.add(shiroPlugin);

 

6)配置一个拦截器,我这是配置了一个全局拦截器,在某些系统中,可以只给后他需要验证的部分添加拦截器,前台部分可以不用该访问控制拦截器。

 

public void configInterceptor(Interceptors me) {
		// TODO Auto-generated method stub
		me.add(new ShiroInterceptor());
	}

7)根据需要实现一个Realm,继承自AuthorizingRealm即可。

可参考:

http://www.oschina.net/question/176164_35893

 

8)配置shiro.ini文件,该文件需放在 /WEB-INF/shiro.ini这个位置。我的shiro.ini如下:

参考了http://my.oschina.net/smile622/blog/135098

 

[main]
#realm
myRealm = com.lh.openapi.manager.shiro.ShiroDbRealm
securityManager.realm = $myRealm

#cache
shiroCacheManager = org.apache.shiro.cache.ehcache.EhCacheManager
shiroCacheManager.cacheManagerConfigFile = classpath:ehcache-shiro.xml
securityManager.cacheManager = $shiroCacheManager

#session
sessionDAO = org.apache.shiro.session.mgt.eis.EnterpriseCacheSessionDAO
sessionManager = org.apache.shiro.web.session.mgt.DefaultWebSessionManager
sessionDAO.activeSessionsCacheName = shiro-activeSessionCache
sessionManager.sessionDAO = $sessionDAO
securityManager.sessionManager = $sessionManager
securityManager.sessionManager.globalSessionTimeout = 360000

#这里的规则,web.xml中的配置的ShiroFilter会使用到。
[urls]
/** = anon
/card/** = user
/school/** = user
/rpc/rest/** = perms[rpc:invoke], authc
/** = authc

 

9)配置web.xml在所有filter前面添加

 

<listener>
    <listener-class>org.apache.shiro.web.env.EnvironmentLoaderListener</listener-class>
  </listener>
    <filter>
    <filter-name>shiro</filter-name>
    <filter-class>org.apache.shiro.web.servlet.ShiroFilter</filter-class>
  </filter>
  <filter-mapping>
    <filter-name>shiro</filter-name>
    <url-pattern>/*</url-pattern>
  </filter-mapping>

若shiro.ini中配置了

[urls]
/** = anon
/card/** = user
/school/** = user

相关访问控制规则,ShiroFilter会优先匹配这些规则,这个规则通过后,才会执行JFinal的Filer。才会进入JFinal的处理循环。

 

© 著作权归作者所有

共有 人打赏支持
玛雅牛

玛雅牛

粉丝 483
博文 113
码字总数 27287
作品 4
高级程序员
加载中

评论(42)

JFinal
JFinal

引用来自“大胡子爸爸”的评论

jfinal 3.3 版本,plugin 启动放到 routes初始化之前了。要在route初始化之后手动启动plugin,否则routes取到为null。

public void configRoute(Routes routes) {
......这里配置routes.......
afterConfigRoutes(routes);
}

private void afterConfigRoutes(Routes routes) {
//在routes初始化完后手动启动plugin插件
ShiroPlugin plugin = new ShiroPlugin(routes);
plugin.setLoginUrl("/login");
plugin.setUnauthorizedUrl("/unauthorized");
plugin.setSuccessUrl("/");
plugin.start();
}

这个问题不知道有没有其他解决方案?@JFinal @玛雅牛
正在想办法升级,多多关注社区动态: http://www.jfinal.com/share/495

另外,这里还有一个整合方案,看是不能解决你的问题:http://www.jfinal.com/share/410
大胡子爸爸
jfinal 3.3 版本,plugin 启动放到 routes初始化之前了。要在route初始化之后手动启动plugin,否则routes取到为null。

public void configRoute(Routes routes) {
......这里配置routes.......
afterConfigRoutes(routes);
}

private void afterConfigRoutes(Routes routes) {
//在routes初始化完后手动启动plugin插件
ShiroPlugin plugin = new ShiroPlugin(routes);
plugin.setLoginUrl("/login");
plugin.setUnauthorizedUrl("/unauthorized");
plugin.setSuccessUrl("/");
plugin.start();
}

这个问题不知道有没有其他解决方案?@JFinal @玛雅牛
RobertCool
RobertCool
@玛雅牛 config中通过add(new Routes())的方式添加的路由不会被扫描到
这个有人提了个Pull Request,麻烦合并一下
咿咦咦咦咦咦酷
咿咦咦咦咦咦酷
评论不了?
咿咦咦咦咦咦酷
咿咦咦咦咦咦酷
最近在做JFinal整合Shiro. 这篇帖子帮了我很多。我是直接从3.0开始接触的JFinal,发现插件存在一点问题:
JFinal-ext包中的 shiro插件,里面的ShiroPlugin类中:Entry<String, Class<? extends Controller>> entry : routes.getEntrySet() 这个方法,在3.0的JFinal里是没有的,所以,我看了源码以后改成了Route route : routes.getRouteItemList()的方式。
原来的JFinal2.0里的Routes是用Map存储的,而3.0里是用的List.所以,这里就出了问题. 然而在JFinal-ext-3.1.0.jar包里还是2.0的写法,希望@JFinal @玛雅牛 能看一下.
还有个问题:就是在web.xml里,Shiro的Filter一定要放在所有Filter的前面,这个帖子也有提到过.但是我还是出现了问题:org.apache.shiro.UnavailableSecurityManagerException: No SecurityManager accessible to the calling code,either bound to the org.apache.shiro.util.ThreadContext or as a vm static singleton. This is an invalid application configuration.
我的解决方案是:在JFinal-shiro.jar里的AbstractAuthzHandler类, SecurityUtils.getSubject();之前加入以下代码:
Factory<SecurityManager> factory = new IniSecurityManagerFactory(PathKit.getRootClassPath() + "/shiro.ini");
     SecurityManager security = factory.getInstance();
     SecurityUtils.setSecurityManager(security);
希望能看到更具体的JFinal中使用shiro的贴。
咿咦咦咦咦咦酷
咿咦咦咦咦咦酷
最近在做JFinal整合Shiro. 这篇帖子帮了我很多。我是直接从3.0开始接触的JFinal,发现插件存在一点问题:
JFinal-ext包中的 shiro插件,里面的ShiroPlugin类中:Entry<String, Class<? extends Controller>> entry : routes.getEntrySet() 这个方法,在3.0的JFinal里是没有的,所以,我看了源码以后改成了Route route : routes.getRouteItemList()的方式。
原来的JFinal2.0里的Routes是用Map存储的,而3.0里是用的List.所以,这里就出了问题. 然而在JFinal-ext-3.1.0.jar包里还是2.0的写法,希望@JFinal @玛雅牛 能看一下.
还有个问题:就是在web.xml里,Shiro的Filter一定要放在所有Filter的前面,这个帖子也有提到过.但是我还是出现了问题:org.apache.shiro.UnavailableSecurityManagerException: No SecurityManager accessible to the calling code,either bound to the org.apache.shiro.util.ThreadContext or as a vm static singleton. This is an invalid application configuration.
我的解决方案是:在JFinal-shiro.jar里的AbstractAuthzHandler类, SecurityUtils.getSubject();之前加入以下代码:
Factory<SecurityManager> factory = new IniSecurityManagerFactory(PathKit.getRootClassPath() + "/shiro.ini");
     SecurityManager security = factory.getInstance();
     SecurityUtils.setSecurityManager(security);
希望能看到更具体的JFinal中使用shiro的贴。
咿咦咦咦咦咦酷
咿咦咦咦咦咦酷
最近在做JFinal整合Shiro. 这篇帖子帮了我很多。我是直接从3.0开始接触的JFinal,发现插件存在一点问题:
JFinal-ext包中的 shiro插件,里面的ShiroPlugin类中:Entry<String, Class<? extends Controller>> entry : routes.getEntrySet() 这个方法,在3.0的JFinal里是没有的,所以,我看了源码以后改成了Route route : routes.getRouteItemList()的方式。
原来的JFinal2.0里的Routes是用Map存储的,而3.0里是用的List.所以,这里就出了问题. 然而在JFinal-ext-3.1.0.jar包里还是2.0的写法,希望@JFinal @玛雅牛 能看一下.
还有个问题:就是在web.xml里,Shiro的Filter一定要放在所有Filter的前面,这个帖子也有提到过.但是我还是出现了问题:org.apache.shiro.UnavailableSecurityManagerException: No SecurityManager accessible to the calling code,either bound to the org.apache.shiro.util.ThreadContext or as a vm static singleton. This is an invalid application configuration.
我的解决方案是:在JFinal-shiro.jar里的AbstractAuthzHandler类, SecurityUtils.getSubject();之前加入以下代码:
Factory<SecurityManager> factory = new IniSecurityManagerFactory(PathKit.getRootClassPath() + "/shiro.ini");
     SecurityManager security = factory.getInstance();
     SecurityUtils.setSecurityManager(security);
希望能看到更具体的JFinal中使用shiro的贴。
Role
Role
不错不错,最近也集成中,谢谢分享
玛雅牛
玛雅牛

引用来自“施立”的评论

[urls]
/** = anon
/card/** = user
/school/** = user
第一条使用/**时 使用org.apache.shiro.web.filter.authc.AnonymousFilter
访问/card/ 这个url时候 第二条会生效吗? 我的测试结果是 第一条使用过后 其他将不会生效
这个不清楚啊,我主要是使用注解方式来管理权限。具体查查shiro的官方文档。
施立
施立
[urls]
/** = anon
/card/** = user
/school/** = user
第一条使用/**时 使用org.apache.shiro.web.filter.authc.AnonymousFilter
访问/card/ 这个url时候 第二条会生效吗? 我的测试结果是 第一条使用过后 其他将不会生效
给JFinal添加Shiro插件功能,支持Shiro所有注解-HTTL篇

由于使用HTTL模板引擎,所以也想将Shiro和HTTL集成起来。 具体实现如下,此嗲吗和给JFinal添加Shiro插件功能,支持Shiro所有注解-实现篇中的一样。 在httl.properties中添加一行代码。 集成完...

玛雅牛
2013/06/12
0
9
给JFinal添加Shiro插件功能,支持Shiro所有注解-实现篇

2015年8月3日更新: 支持JFinal 2.0 版本,同时给出了一些实际代码,想见git @JFinal给出了一些好的建议,已重构部分代码。 代码放在oschina的git上,访问地址: http://git.oschina.net/mya...

玛雅牛
2013/06/12
0
8
JFinal-Beetl-Shiro(JdbcRealm)-例子

JFinal-Shiro-JDBC-Demo http://git.oschina.net/yinjun622/JFinal-Shiro-JDBC-Demo 简单实现@JFinal与Shiro整合例子 1、工程通过Eclipse直接导入,部署到tomcat中; 2、新建jfinalshiro数据......

leon_rock
2014/02/27
0
12
jfinal+shiro基础上添加jcaptcha验证码

http://www.oschina.net/code/snippet13398932527 上门链接是上次分享了在jfinal中添加jcaptcha验证码 后看到@玛雅牛的jfinal-shiro插件,顺便将验证码加入 MyShiroRealm.java /** * 认证回调...

edeis2011
2014/01/10
0
4
Jboot v1.4.9 发布,核心 JFinal 升级到 3.4 最新版本

Jboot 是一个基于 JFinal 和 Undertow 开发的微服务框架。提供了 AOP、RPC、分布式缓存、限流、降级、熔断、统一配置中心、Opentracing 数据追踪、metrics 数据监控、分布式 session、代码生...

理工男海哥
05/03
0
0

没有更多内容

加载失败,请刷新页面

加载更多

spring只

一、IOC(Inversion of Control)或者依赖注入(Dependency Injection) 1、底层实现原理:反射 2、三大核心接口: BeanFactory:简单容器系列,只是实现了容器最基本的功能。 ApplicationC...

狠一点
刚刚
0
0
缓存架构SpringBoot集成Curator实现zookeeper分布式锁

一、分布式锁简介 1、什么是锁 在单机环境下,当存在多个线程可以同时改变某个共享变量时,就需要同步来实现该功能,使其线程安全。 而同步就是通过锁来实现的。锁保证了同一时刻只有一个线程...

架构师springboot
2分钟前
0
0
11《Java核心技术》之Java提供了哪些IO方式? NIO如何实现多路复用?

一、提出问题 IO 一直是软件开发中的核心部分之一,伴随着海量数据增长和分布式系统的发展,IO 扩展能力愈发重要。幸运的是,Java 平台 IO 机制经过不断完善,虽然在某些方面仍有不足,但已经...

飞鱼说编程
9分钟前
0
0
简单介绍Java 的JAR包、EAR包、WAR包区别

WAR包 WAR(Web Archive file)网络应用程序文件,是与平台无关的文件格式,它允许将许多文件组合成一个压缩文件。War专用于Web方面。大部分的JAVA WEB工程,都是打成WAR包进行发布的。 War是...

linuxprobe16
9分钟前
0
0
55:Mysql用户管理|常用sql语句|mysql数据库备份恢复

1、Mysql用户管理; 场景,为了安全,新建的站点,创建新的用户,或者给已有用户授权,对某个库或者某个表有权限; 语法: grant all on *.* to 'user'@'127.0.0.1' identified by 'password'; g...

芬野de博客
13分钟前
0
0

没有更多内容

加载失败,请刷新页面

加载更多

返回顶部
顶部