shiro中Filter过滤器管理

最新推荐文章于 2023-07-08 11:21:00 发布
原创 最新推荐文章于 2023-07-08 11:21:00 发布 · 5.7k 阅读 · 12 ·
CC 4.0 BY-SA版权
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。

本文介绍了Shiro框架中的Filter过滤器管理，包括NameableFilter、OncePerRequestFilter、AdviceFilter、PathMatchingFilter、AccessControlFilter和AuthorizationFilter的作用。讲解了过滤器的执行流程，如onPreHandle和onAccessDenied方法，以及url权限匹配顺序。过滤器的意义在于实现权限控制和访问控制基础功能，例如无参数表示匿名访问，参数表示认证、角色和权限需求。最后，阐述了如何在Shiro配置中使用自定义Filter。

摘要生成于 C知道 ，由 DeepSeek-R1 满血版支持， 前往体验 >

过滤器类继承关系 

image.png

NameableFilter
NameableFilter给Filter起个名字，如果没有设置默认就是FilterName；还记得之前的如authc吗？当我们组装拦截器链时会根据这个名字找到相应的拦截器实例；

OncePerRequestFilter
OncePerRequestFilter用于防止多次执行Filter的；也就是说一次请求只会走一次拦截器链；另外提供enabled属性，表示是否开启该拦截器实例，默认enabled=true表示开启，如果不想让某个拦截器工作，可以设置为false即可。

AdviceFilter
AdviceFilter提供了AOP风格的支持，类似于SpringMVC中的Interceptor
 

 boolean preHandle(ServletRequest request, ServletResponse response) throws Exception  
 void postHandle(ServletRequest request, ServletResponse response) throws Exception  
 void afterCompletion(ServletRequest request, ServletResponse response, Exception exception) throws Exception;   

PathMatchingFilter

PathMatchingFilter提供了基于Ant风格的请求路径匹配功能及拦截器参数解析的功能，如“roles[admin,user]”自动根据“，”分割解析到一个路径参数配置并绑定到相应的路径：

 boolean pathsMatch(String path, ServletRequest request)  
 boolean onPreHandle(ServletRequest request, ServletResponse response, Object mappedValue) throws Exception   

pathsMatch：该方法用于path与请求路径进行匹配的方法；如果匹配返回true
onPreHandle：在preHandle中，当pathsMatch匹配一个路径后，会调用opPreHandler方法并将路径绑定参数配置传给mappedValue；然后可以在这个方法中进行一些验证（如角色授权），如果验证失败可以返回false中断流程；默认返回true；也就是说子类可以只实现onPreHandle即可，无须实现preHandle。如果没有path与请求路径匹配，默认是通过的（即preHandle返回true）。

AccessControlFilter

AccessControlFilter提供了访问控制的基础功能；比如是否允许访问/当访问拒绝时如何处理等：

abstract boolean isAccessAllowed(ServletRequest request, ServletResponse response, Object mappedValue) throws Exception;   boolean onAccessDenied(ServletRequest request, ServletResponse response, Object mappedValue) throws Exception;  
abstract boolean onAccessDenied(ServletRequest request, ServletResponse response) throws Exception;   

isAccessAllowed：表示是否允许访问；mappedValue就是[urls]配置中拦截器参数部分，如果允许访问返回true，否则false；
onAccessDenied：表示当访问拒绝时是否已经处理了；如果返回true表示需要继续处理；如果返回false表示该拦截器实例已经处理了，将直接返回即可。

onPreHandle会自动调用这两个方法决定是否继续处理：

boolean onPreHandle(ServletRequest request, ServletResponse response, Object mappedValue) throws Exception {  
    return isAccessAllowed(request, response, mappedValue) || onAccessDenied(request, response, mappedValue); 
}   

另外AccessControlFilter还提供了如下方法用于处理如登录成功后/重定向到上一个请求：

  void setLoginUrl(String loginUrl) //身份验证时使用，默认/login.jsp  
  String getLoginUrl()  
  Subject getSubject(ServletRequest request, ServletResponse response) //获取Subject实例  
  boolean isLoginRequest(ServletRequest request, ServletResponse response)//当前请求是否是登录请求  
  
 void saveRequestAndRedirectToLogin(ServletRequest request, ServletResponse response) throws IOException //将当前请求保存起来并重定向到登录页面    
 void saveRequest(ServletRequest request) //将请求保存起来，如登录成功后再重定向回该请求   
 void redirectToLogin(ServletRequest request, ServletResponse response) //重定向到登录页面   

比如基于表单的身份验证就需要使用这些功能。 到此基本的拦截器就完事了，如果我们想进行访问访问的控制就可以继承AccessControlFilter；如果我们要添加一些通用数据我们可以直接继承PathMatchingFilter。

AuthorizationFilter
AuthorizationFilter实现了AccessControlFilter的onAccessDenied方法

//访问拒绝才会进来此方法
protected boolean onAccessDenied(ServletRequest request, ServletResponse response) throws IOException {
        Subject subject = getSubject(request, response);
        if (subject.getPrincipal() == null) {
            // 如果未登录，保存当前页面，重定向到登录页面
            saveRequestAndRedirectToLogin(request, response);
        } else {
            //匿名访问地址
            String unauthorizedUrl = getUnauthorizedUrl();
            if (StringUtils.hasText(unauthorizedUrl)) {
                //如果匿名访问地址存在，则跳转去匿名访问地址
                WebUtils.issueRedirect(request, response, unauthorizedUrl);
            } else {
                //不存在则返回404
                WebUtils.toHttp(response).sendError(HttpServletResponse.SC_UNAUTHORIZED);
            }
        }
        return false;
    }

ShiroFilterFactoryBean
当我们写好了自定义Filter后，如何在Shiro中使用它呢？在config类中注入ShiroFilter的bean

     /**
     * ShiroFilter主要配置
      * @param securityManager
     * @return
     */
    @Bean
    public ShiroFilterFactoryBean shiroFilter (SecurityManager securityManager){
        ShiroFilterFactoryBean shiroFilterFactoryBean = new ShiroFilterFactoryBean();
        shiroFilterFactoryBean.setSecurityManager(securityManager);

        //自定义拦截器
        Map<String, Filter> filtersMap = new LinkedHashMap<String, Filter>();
        filtersMap.put("roleOrFilter", roleOrFilter());
        shiroFilterFactoryBean.setFilters(filtersMap);

        Map<String, String> filterChainDefinitionMap = new LinkedHashMap<String, String>();
        //注意过滤器配置顺序 不能颠倒
        //配置退出 过滤器,其中的具体的退出代码Shiro已经替我们实现了，登出后跳转配置的loginUrl
        filterChainDefinitionMap.put("/logout", "logout");
        // 配置不会被拦截的链接 顺序判断
        //filterChainDefinitionMap.put("/hello", "anon");
        filterChainDefinitionMap.put("/ajaxLogin", "anon");
        filterChainDefinitionMap.put("/testRole", "anon");
        filterChainDefinitionMap.put("/**", "roleOrFilter[admin,admin1]");
        //自动跳去登录的地址
        shiroFilterFactoryBean.setLoginUrl("/login");
        //上面提到的匿名地址
        //shiroFilterFactoryBean.setUnauthorizedUrl();
        shiroFilterFactoryBean.setFilterChainDefinitionMap(filterChainDefinitionMap);
        return shiroFilterFactoryBean;
    }

这样我们在访问对应的请求时，就会先调用shiro的filter。

默认拦截器名拦截器类说明（括号里的表示默认值）
身份验证相关的  
authcorg.apache.shiro.web.filter.authc.FormAuthenticationFilter基于表单的拦截器；如“/**=authc”，如果没有登录会跳到相应的登录页面登录；主要属性：usernameParam：表单提交的用户名参数名（ username）； passwordParam：表单提交的密码参数名（password）； rememberMeParam：表单提交的密码参数名（rememberMe）； loginUrl：登录页面地址（/login.jsp）；successUrl：登录成功后的默认重定向地址； failureKeyAttribute：登录失败后错误信息存储key（shiroLoginFailure）；
authcBasicorg.apache.shiro.web.filter.authc.BasicHttpAuthenticationFilterBasic HTTP身份验证拦截器，主要属性： applicationName：弹出登录框显示的信息（application）；
logoutorg.apache.shiro.web.filter.authc.LogoutFilter退出拦截器，主要属性：redirectUrl：退出成功后重定向的地址（/）
userorg.apache.shiro.web.filter.authc.UserFilter用户拦截器，用户已经身份验证/记住我登录的都可；
anonorg.apache.shiro.web.filter.authc.AnonymousFilter匿名拦截器，即不需要登录即可访问；一般用于静态资源过滤；示例“/static/**=anon”
授权相关的  
rolesorg.apache.shiro.web.filter.authz.RolesAuthorizationFilter角色授权拦截器，验证用户是否拥有所有角色；主要属性： loginUrl：登录页面地址（/login.jsp）；unauthorizedUrl：未授权后重定向的地址；示例“/admin/**=roles[admin]”
permsorg.apache.shiro.web.filter.authz.PermissionsAuthorizationFilter权限授权拦截器，验证用户是否拥有所有权限；属性和roles一样；示例“/user/**=perms["user:create"]”
portorg.apache.shiro.web.filter.authz.PortFilter端口拦截器，主要属性：port（80）：可以通过的端口；示例“/test= port[80]”，如果用户访问该页面是非80，将自动将请求端口改为80并重定向到该80端口，其他路径/参数等都一样
restorg.apache.shiro.web.filter.authz.HttpMethodPermissionFilterrest风格拦截器，自动根据请求方法构建权限字符串（GET=read, POST=create,PUT=update,DELETE=delete,HEAD=read,TRACE=read,OPTIONS=read, MKCOL=create）构建权限字符串；示例“/users=rest[user]”，会自动拼出“user:read,user:create,user:update,user:delete”权限字符串进行权限匹配（所有都得匹配，isPermittedAll）；
sslorg.apache.shiro.web.filter.authz.SslFilterSSL拦截器，只有请求协议是https才能通过；否则自动跳转会https端口（443）；其他和port拦截器一样；

拦截器配置

        <property name="filterChainDefinitions">
            <value>
                /login.jsp = anon
                /shiro/login = anon
                /shiro/logout = logout
                
                /user.jsp = roles[user]
                /admin.jsp = roles[admin]
                
                # everything else requires authentication:
                /** = authc
            </value>
        </property>
  • 支持Ant风格模式
  • ? : 匹配一个字符
  • * : 匹配零个或多个字符串
  • ** : 匹配零个或者多个路径

url权限匹配顺序

  • 采用第一次匹配优先的方式
    即从开始使用第一个匹配的url模式对应的拦截器链
    如:
   - /bb/**=filter1
   - /bb/aa=filter2
   - /**=filter3
  • 如果请求的url是"/bb/aa",那么将使用filter1进行拦截(没错我没有写错)

 过滤器的意义

  1. 无参

  • /admin/** = anon ：无参，表示可匿名访问
  • /admin/user/** = authc ：无参，表示需要认证才能访问
  • /admin/user/** = authcBasic ：无参，表示需要httpBasic认证才能访问
  • /admin/user/** = ssl ：无参，表示需要安全的URL请求，协议为https
  • /home = user ：表示用户不一定需要通过认证，只要曾被 Shiro 记住过登录状态就可以正常发起 /home 请求

  1. 必须认证

  • /edit = authc,perms[admin:edit] ：表示用户必需已通过认证，并拥有 admin:edit 权限才可以正常发起 /edit 请求
  • /admin = authc,roles[admin] ：表示用户必需已通过认证，并拥有 admin 角色才可以正常发起 /admin 请求
  • /admin/user/** = port[8081] ：当请求的URL端口不是8081时，跳转到schemal://serverName:8081?queryString
  • /admin/user/** = rest[user] ：根据请求方式来识别，相当于 /admins/user/**=perms[user:get]或perms[user:post] 等等
  • /admin** = roles["admin,guest"] ：允许多个参数（逗号分隔），此时要全部通过才算通过，相当于hasAllRoles()
  • /admin** = perms["user:add:*,user:del:*"]：允许多个参数（逗号分隔），此时要全部通过才算通过，相当于isPermitedAll()

  1. 退出登录

  • /logout = logout


 

Springboot 集成Shiro自定义Filter
坤哥的博客
11-25 1万+
网上自定义Filter的实现很多，这里我提供一种Springboot在代码中的实现。Shiro提供的Filter我这里不一一介绍了，一般基于web会话的都是使用authc(这是FormAuthenticationFilter)。根据我无状态的登陆需求，选择了AccessControlFilter，网上也有说这个是最被广泛使用的，具体还是看自己需求吧。Filter代码：/** * @author C
shiro内置过滤器学习记录
weixin_41038905的博客
03-18 932
shiro是个认证权限框架，除了登录、退出逻辑我们需要加入项目代码之外，验证用户是否已经登录、是否拥有权限的代码其实都是过滤器来完成的，可以这么说，shiro其实就是一个过滤器链集合。 当运行web应用程序时，Shiro将创建一些有用的默认过滤器实例，并使它们在[main]部分自动可用。您可以像配置任何其他bean一样在main中配置它们，并在链定义中引用它们。 默认筛选器实例由DefaultFilter enum中定义 public enum DefaultFilter { anon(Anony
SpringBoot+Shiro学习（七）：Filter过滤器管理
weixin_34258782的博客
12-16 1311
先从我们写的一个自定义Filter来看： public class RoleOrFilter extends AuthorizationFilter { @Override protected boolean isAccessAllowed(ServletRequest request, ServletResponse response, Object mappedValue) t...
Springboot整合shiro之过滤器注册源码分析
xulifeng1199的博客
10-23 481
Springboot原理不了解的可以先了解一下它的运行原理，通常我们都是在springboot项目下配置一个shiro配置类本项目中配置的类是ShiroConfig,截图如下： ShiroFilterFactoryBean是shiro包下带的一个类它实现了FactoryBean接口，根据spring原理我们可以知道在实例化ShiroFilterFactoryBean对象时会调用getObject()方法，截图如下: 该类中有个成员变量AbstractShiroFilter,该类最终实现了javax.se
SpringBoot 与Shirofilter
Coder_Joker的博客 joke a joker
08-12 2035
  Shiro 一段时间没用,好多东西忘了,今天自定义Filter 注册到Shiro中的时候发现了几个问题: 1.这个Filter会执行2次  2.受Shiro管理的filter 无法使用Spring 的bean 所以干脆直接debug源码一探究竟: 先声明一点,我们在配置中通常都是通过ShiroFilterFactoryBean来配置的 public class ShiroFilt...
springboot下使用shiro自定义filter的个人经验
BHSZZY的博客
12-28 9168
在springboot中使用shiro，由于没有了xml配置文件，因此使用的方法与spring中有些区别。在踩了无数个坑后，在此将springboot下使用shiro的步骤总结如下。由于本人对shiro的了解不是很深入，在实现了工作需求后就没有继续研究了，因此可能存在遗漏的地方或有错误的地方，还请多包涵。   目标： 在springboot中使用shiro 1.实现用户的登录验证 2.对...
Spring Boot 自定义 Shiro 过滤器无法使用 @Autowired问题及解决方法
08-25
在 Spring Boot 中集成 Shiro 并使用 JWT 进行接口认证时，可能会遇到自定义 Shiro 过滤器无法使用 @Autowired 问题。下面将详细介绍该问题及解决方法。 一、问题描述 在使用 Spring Boot 集成 Shiro 时，需要...
shiro 不过滤指定的带参数url_Shiro权限管理框架（三）：Shiro中权限过滤器的初始化流程和实现原理...
weixin_39951112的博客
12-18 650
初始化流程ShiroFilterFactoryBean实现了FactoryBean接口，那么Spring在初始化的时候必然会调用ShiroFilterFactoryBean的getObject()获取实例，而ShiroFilterFactoryBean也在此时做了一系列初始化操作。关于FactoryBean的介绍和实现方式另外也记了一篇：https://www.guitu18.com/post/2...
SpringBoot整合shiro-重写shiro的登录过滤器
tengfei308的博客
03-30 767
SpringBoot整合shiro-重写shiro的登录过滤器 shiro是利用过滤器进行工作,而springboot的web项目本质其实就是springmvc.所有的请求都在DispatcherServlet中进行了分发.在web项目中,Filter先于servlet执行的.shiro的登录的拦截器比springboot的controller先执行.而shiro的登录filter只支持登录失败时返回一个页面,如果使用的是ajax请求,希望没有登录时返回JSON数据,shiro本身的filter是做不到的,
shiro执行多个过滤器_（springboot）shiro安全框架自定义过滤器出现的几个疑难杂症解决方案...
weixin_39637924的博客
12-19 728
问题一：多次重复重定向问题(匹配多个过滤器链重复调用其对应过滤器)问题二：shiro认证时Realm会执行两次在使用springboot框架整合shiro安全认证框架时踩了很多坑，每次出问题网上都找不到其中的解决方案，这里贴两个我遇到的坑，以及其解决方案给大家，希望大家可以少走弯路。问题一场景：// 自定义拦截器Map customisedFilter = new HashMap<>(...
SpringBoot项目集成ShiroFilter简单实现权限管理
Hello World
02-27 854
Apache Shiro是一个强大且易用的Java安全框架,执行身份验证、授权、密码和会话管理 由于项目需求，自学了Shiro框架，本文记录一下所用到的技术和一些无法理解的坑。 其中Shiro框架包含了很多bean属性，这些bean是可以通过自定义的方式更加符合开发需求，开发者可以通过@Configuration注释重写ShiroConfig配置文件，来设置自己需要用到的bean，上代码 pack...
Spring-boot shiro中使用Filter
u010727398的博客
11-28 439
开始这个话题之前，应该先明白request的inputStream是不可以重复读的。但是在有些业务场景下，我们需要读出请求信息，做拦截或者记录。因此我们需要继承HttpServletRequestWrapper实现自己的requestWrapper。具体代码如下： import javax.servlet.ReadListener; import javax.servlet.ServletIn...
【shiro】AccessControlFilter
Tuling2020的博客
09-27 922
6、AccessControlFilter AccessControlFilter提供了访问控制的基础功能；比如是否允许访问/当访问拒绝时如何处理等： Java代码 abstractbooleanisAccessAllowed(ServletRequestrequest,ServletResponseresponse,ObjectmappedVal...
shiro学习22-shiro提供的filter-AccessControlFilter
iteye_14612的博客
02-20 1888
这个类的javadoc中说明了这个类才是限制应用中的资源能否被访问的filter，我们先看的onPreHandle方法： publicboolean onPreHandle(ServletRequest request, ServletResponse response, Object mappedValue) throws Exception { return isAccessA...
搭建Springboot整合shiro安全框架+Redis+Swagger+Filter超详细
yhl15736773842的博客
07-08 1259
OverrideResult result = new Result(401, "未登录，请先登陆", null);
springboot+shiro整合，自定义Shiro Filter过滤器
小哇
03-27 2390
关于springboot和shiro的整合，可以参考博文https://blog.csdn.net/qq_41712271/article/details/105127925 假如： /admin/order= roles["admin, root"] ，表示 /admin/order 这个接口需要用户同时具备 admin 与 root 角色 才可访问, 相当于hasAllRoles() 这个判...
Springboot2集成Shiro框架（二）自定义Filter
New_Yao的博客
09-04 946
1
java☞过滤器和拦截器的区别
qq_1641486826的博客
07-05 258
过滤器和拦截器的区别，百度了一下： ①拦截器是基于java的反射机制的，而过滤器是基于函数回调。 　　②拦截器不依赖与servlet容器，过滤器依赖与servlet容器。 　　③拦截器只能对action请求起作用，而过滤器则可以对几乎所有的请求起作用。 　　④拦截器可以访问action上下文、值栈里的对象，而过滤器不能访问。 　　⑤在action的生命周期中，拦截器可以多次被调用，而过滤器只能在容...
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包

打赏作者

良之才-小良

你的鼓励将是我创作的最大动力

¥1 ¥2 ¥4 ¥6 ¥10 ¥20
扫码支付：¥1
获取中
扫码支付

您的余额不足，请更换扫码支付或充值

打赏作者

实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值