【Shiro】第四章 Web项目集成Shiro（四）-阿里云开发者社区

【Shiro】第四章 Web项目集成Shiro（四）

2023-07-25 93

版权

本文内容由阿里云实名注册用户自发贡献，版权归原作者所有，阿里云开发者社区不拥有其著作权，亦不承担相应法律责任。具体规则请查看《阿里云开发者社区用户服务协议》和《阿里云开发者社区知识产权保护指引》。如果您发现本社区中有涉嫌抄袭的内容，填写侵权投诉表单进行举报，一经查实，本社区将立刻删除涉嫌侵权内容。

简介： 【Shiro】第四章 Web项目集成Shiro（四）

【1.4】案例

【1.4.1】创建项目

拷贝shiro-day01-07web新建shiro-day01-08web-java

【1.4.2】修改shiro.ini

#声明自定义的realm，且为安全管理器指定realms

[main]

definitionRealm=com.itheima.shiro.realm.DefinitionRealm

securityManager.realms=$definitionRealm

#用户退出后跳转指定JSP页面

logout.redirectUrl=/login.jsp

#若没有登录，则被authc过滤器重定向到login.jsp页面

authc.loginUrl = /login.jsp

[urls]

/login=anon

#发送/home请求需要先登录

#/home= authc

#发送/order/list请求需要先登录

#/order-list = roles[admin]

#提交代码需要order:add权限

#/order-add = perms["order:add"]

#更新代码需要order:del权限

#/order-del = perms["order:del"]

#发送退出请求则用退出过滤器

/logout = logout

【1.4.3】登录相关

修改HomeServlet的doPost方法

1. package com.itheima.shiro.web;
2. 
3. import org.apache.shiro.SecurityUtils;
4. import org.apache.shiro.subject.Subject;
5. 
6. import javax.servlet.ServletException;
7. import javax.servlet.annotation.WebServlet;
8. import javax.servlet.http.HttpServlet;
9. import javax.servlet.http.HttpServletRequest;
10. import javax.servlet.http.HttpServletResponse;
11. import java.io.IOException;
12. 
13. /**
14.  * @Description：系统home页面
15.  */
16. @WebServlet(urlPatterns = "/home")
17. public class HomeServlet extends HttpServlet {
18. 
19. @Override
20. protected void doGet(HttpServletRequest req, HttpServletResponse resp)
21. throws ServletException, IOException {
22.         doPost(req, resp);
23.     }
24. 
25. @Override
26. protected void doPost(HttpServletRequest req, HttpServletResponse resp)
27. throws ServletException, IOException {
28. //通过subjectd对象去判断是否登录
29. Subject subject = SecurityUtils.getSubject();
30. boolean flag  = subject.isAuthenticated();
31. if (flag){
32.             resp.sendRedirect("home.jsp");
33.         }else {
34.             req.getRequestDispatcher("/login").forward(req, resp);
35.         }
36.     }
37. }

访问http://localhost:8080/platform/home 进行debug

此时我们通过subject.isAuthenticated()判断是否登录，如果登录则重定向到home.jsp,如果没有登录则转发到/login对应的servlet

【1.4.4】角色相关

修改OrderListServlet的doPost方法，判断是否有admin角色，如果有则转发order-list.jsp,没有则转发/login

1. package com.itheima.shiro.web;
2. 
3. import org.apache.shiro.SecurityUtils;
4. import org.apache.shiro.subject.Subject;
5. 
6. import javax.servlet.ServletException;
7. import javax.servlet.annotation.WebServlet;
8. import javax.servlet.http.HttpServlet;
9. import javax.servlet.http.HttpServletRequest;
10. import javax.servlet.http.HttpServletResponse;
11. import java.io.IOException;
12. 
13. /**
14.  * @Description：订单列表
15.  */
16. @WebServlet(urlPatterns = "/order-list")
17. public class OrderListServlet extends HttpServlet {
18. 
19. @Override
20. protected void doGet(HttpServletRequest req, HttpServletResponse resp)
21. throws ServletException, IOException {
22.         doPost(req, resp);
23.     }
24. 
25. @Override
26. protected void doPost(HttpServletRequest req, HttpServletResponse resp)
27. throws ServletException, IOException {
28. Subject subject = SecurityUtils.getSubject();
29. //判断当前角色
30. boolean flag = subject.hasRole("admin");
31. if (flag){
32.             req.getRequestDispatcher("order-list.jsp").forward(req, resp);
33.         }else {
34.             req.getRequestDispatcher("/login").forward(req, resp);
35.         }
36.     }
37. }

访问http://localhost:8080/platform/order-list

因为此时我未登录，也就是说当前没有admin角色，这是通过subject.hasRole("admin")返回未false

【1.4.5】资源相关

修改OrderAddServlet

1. package com.itheima.shiro.web;
2. 
3. import org.apache.shiro.SecurityUtils;
4. import org.apache.shiro.subject.Subject;
5. 
6. import javax.servlet.ServletException;
7. import javax.servlet.annotation.WebServlet;
8. import javax.servlet.http.HttpServlet;
9. import javax.servlet.http.HttpServletRequest;
10. import javax.servlet.http.HttpServletResponse;
11. import java.io.IOException;
12. 
13. /**
14.  * @Description：添加页码
15.  */
16. @WebServlet(urlPatterns = "/order-add")
17. public class OrderAddServlet extends HttpServlet {
18. 
19. @Override
20. protected void doGet(HttpServletRequest req, HttpServletResponse resp)
21. throws ServletException, IOException {
22.         doPost(req, resp);
23.     }
24. 
25. @Override
26. protected void doPost(HttpServletRequest req, HttpServletResponse resp)
27. throws ServletException, IOException {
28. Subject subject = SecurityUtils.getSubject();
29. //判断是否有对应资源
30. boolean flag = subject.isPermitted("order:add");
31. if (flag){
32.             req.getRequestDispatcher("order-add.jsp").forward(req, resp);
33.         }else {
34.             req.getRequestDispatcher("/login").forward(req, resp);
35.         }
36.     }
37. 
38. }

访问http://localhost:8080/platform/order-add

因为此时我未登录，也就是说当前没有order:add资源，通过 subject.isPermitted("order:add")返回未false

【2】基于Jsp标签

【2.1】使用方式

Shiro提供了一套JSP标签库来实现页面级的授权控制，在使用Shiro标签库前，首先需要在JSP引入shiro标签：

<%@ taglib prefix="shiro" uri="http://shiro.apache.org/tags" %>

【2.2】相关标签

标签	说明
< shiro:guest >	验证当前用户是否为“访客”，即未认证（包含未记住）的用户
< shiro:user >	认证通过或已记住的用户
< shiro:authenticated >	已认证通过的用户。不包含已记住的用户，这是与user标签的区别所在
< shiro:notAuthenticated >	未认证通过用户。与guest标签的区别是，该标签包含已记住用户
< shiro:principal />	输出当前用户信息，通常为登录帐号信息
< shiro:hasRole name="角色">	验证当前用户是否属于该角色
< shiro:lacksRole name="角色">	与hasRole标签逻辑相反，当用户不属于该角色时验证通过
< shiro:hasAnyRoles name="a,b">	验证当前用户是否属于以下任意一个角色
<shiro:hasPermission name=“资源”>	验证当前用户是否拥有制定权限
<shiro:lacksPermission name="资源">	与permission标签逻辑相反，当前用户没有制定权限时，验证通过

【2.3】案例

【2.3.1】新建项目

拷贝shiro-day01-08web-java新建shiro-day01-09web-jsp-taglib项目

【2.3.2】修改home.jsp

1. <%@ taglib prefix="c" uri="http://java.sun.com/jsp/jstl/core" %>
2. <%@ taglib prefix="shiro" uri="http://shiro.apache.org/tags" %>
3. <%@ page contentType="text/html;charset=UTF-8" language="java" %>
4. <html>
5. <head>
6.     <title></title>
7. </head>
8. <body>
9. <h6>
10.     <a href="${pageContext.request.contextPath}/logout">退出</a>
11.     <shiro:hasRole name="admin">
12.     <a href="${pageContext.request.contextPath}/order-list">列表</a>
13.     </shiro:hasRole>
14.     <shiro:hasPermission name="order:add">
15.     <a href="${pageContext.request.contextPath}/order-add">添加</a>
16.     </shiro:hasPermission>
17. </h6>
18. </body>
19. </html>

【2.3.3】测试

访问http://localhost:8080/platform/login

使用admin/123登录

这个时候我们只能看见“列表”，看不见“添加”，点击“退出”

使用jay/123登录

这个时候我们只能看见“添加”，看不见“列表”，点击“退出”

需要注意的是，这里只是页面是否显示内容，不能防止盗链的发生