Shiro之Session分析

最新推荐文章于 2024-02-09 12:28:26 发布

原创

最新推荐文章于 2024-02-09 12:28:26 发布 · 1.8k 阅读

12 ·

CC 4.0 BY-SA版权

本文详细探讨了在Spring Boot与Shiro结合的Web工程中，如何通过SecurityUtils.getSubject()获取用户信息。文章指出，虽然在处理请求时Subject看似存储在线程变量中，但实际Tomcat的线程池机制排除了这种可能性。真正关键在于SpringShiroFilter的拦截过程，它在doFilter方法中创建Subject并绑定到ThreadContext。createSubject方法封装了request、response，并从HttpSession中获取Session和Principal。最后，Principal在登录成功后保存于session中，而Subject对象包含了session和principal等信息，便于后续请求使用。

摘要生成于 C知道，由 DeepSeek-R1 满血版支持，前往体验 >

本文中的时序图使用在线工具https://www.websequencediagrams.com/生成

背景：使用Spring boot搭建web工程，使用shiro做认证授权工作
疑惑：成功登录之后，再次请求时，服务器是如何知道已经登录，是哪个用户，是使用HttpSession还是shiro的Session

SecurityUtils.getSubject()

在处理请求时，可以通过SecurityUtils.getSubject()来获取当前用户，我们来跟踪这个值的来源
在这里插入图片描述
这里很容易误以为登录时将Subject的值存在线程变量中，再次请求时通过线程变量获取，但实际上tomcat是使用线程池来处理请求，线程会循环利用，多个人的请求可能会落到同一个线程，一个人的请求也可能会落到不同的线程，所以这个想法肯定是不对的。那么线程变量中的Subject值是什么时候设置的呢

SpringShiroFilter

使用shiro做认证拦截是必须要声明ShiroFilterFactoryBean

@Bean
public ShiroFilterFactoryBean shiroF

最低0.47元/天解锁文章