java安全框架-Shiro学习笔记（六）-url匹配方式+shiro标签使用+session会话机制

最新推荐文章于 2021-01-25 07:04:06 发布

原创最新推荐文章于 2021-01-25 07:04:06 发布 · 4.3k 阅读

1 ·

CC 4.0 BY-SA版权

shiro 专栏收录该内容

8 篇文章

订阅专栏

本文详细介绍了Java安全框架Shiro的URL匹配方式，包括如何配置和实现不同的URL权限控制。同时，文章还探讨了Shiro标签在Web应用中的具体使用，以及Shiro如何管理和实现会话（Session）机制，为Web应用的安全提供有效保障。

摘要生成于 C知道，由 DeepSeek-R1 满血版支持，前往体验 >

Url匹配方式：

？匹配一个字符/admin? 可以匹配/admin1 /admin2 但是不能匹配/admin12 /admin
* 匹配零个或者一个或者多个字符/admin* 可以匹配/admin /admin1 /admin12 但是不能匹配/admin/abc
** 匹配零个或者多个路径/admin/** 可以匹配/admin /admin/a /admin/a/b

基于第五节的shiro.ini配置，继续往下讲解。

[main]
authc.loginUrl=/login
roles.unauthorizedUrl=/unauthorized.jsp
perms.unauthorizedUrl=/unauthorized.jsp
[users]
java1234=123456,admin
jack=123,teacher
marry=234
json=345
[roles]
admin=user:*
teacher=student:*
[urls]
/login=anon
/admin=authc
/student=roles[teacher]
/teacher=perms["user:create"]

shiro标签使用

准备工作，在jsp页面上添加：<%@ taglib prefix="shiro" uri="http://shiro.apache.org/tags" %>

编辑success.jsp页面

<body>
欢迎你!
<!-- name:角色名称 -->
<shiro:hasRole name="teacher">
	欢迎有teacher角色的用户。<shiro:principal/>
</shiro:hasRole>
<!-- name：权限名称 -->
<shiro:hasPermission name="user:create">
	欢迎有user:create权限的用户<shiro:principal/>
</shiro:hasPermission>
</body>

测试结果：

1、使用java1234,123456登录后，访问http://127.0.0.1:8080/ShiroWeb/success.jsp

测试结果如下：

结果分析：可以看到用户java1234，没有teache角色，所以显示不了欢迎有teacher角色的用户。

2、使用jack，123登录后，访问http://127.0.0.1:8080/ShiroWeb/success.jsp

测试结果如下：

测试分析：可以看到,没有user:create权限的用户jack，看不到“欢迎有user:create权限的用户”。

shiro自己实现的session会话机制：

修改LoginServlet.java文件

import java.io.IOException;
import javax.servlet.ServletException;
import javax.servlet.http.HttpServlet;
import javax.servlet.http.HttpServletRequest;
import javax.servlet.http.HttpServletResponse;

import org.apache.shiro.SecurityUtils;
import org.apache.shiro.authc.UsernamePasswordToken;
import org.apache.shiro.session.Session;
import org.apache.shiro.subject.Subject;

public class LoginServlet extends HttpServlet{
	private static final long serialVersionUID = 1L;
	@Override
	protected void doGet(HttpServletRequest req, HttpServletResponse resp) throws ServletException, IOException {
		// TODO Auto-generated method stub
		System.out.println("login doget");
		req.getRequestDispatcher("login.jsp").forward(req, resp);
	}
	@Override
	protected void doPost(HttpServletRequest req, HttpServletResponse resp) throws ServletException, IOException {
		System.out.println("login dopost");
		String userName=req.getParameter("userName");
		String password=req.getParameter("password");
		Subject subject=SecurityUtils.getSubject();
		UsernamePasswordToken token=new UsernamePasswordToken(userName, password);
		try{
			subject.login(token);
			Session session = subject.getSession();
			System.out.println("sessionId:"+session.getId());
			System.out.println("IP地址："+session.getHost());
			System.out.println("session存活时间："+session.getTimeout());
			//存储数据
			session.setAttribute("info", "session中存储的数据");
			resp.sendRedirect("success.jsp");
		}catch(Exception e){
			e.printStackTrace();
			req.setAttribute("errorInfo", "用户名或者密码错误");
			req.getRequestDispatcher("login.jsp").forward(req, resp);
		}
	}
}

测试结果：

控制台打印结果：