Shiro

Java代码  

1. <dependencies>  
2.     <dependency>  
3.         <groupId>junit</groupId>  
4.         <artifactId>junit</artifactId>  
5.         <version>4.9</version>  
6.     </dependency>  
7.     <dependency>  
8.         <groupId>commons-logging</groupId>  
9.         <artifactId>commons-logging</artifactId>  
10.         <version>1.1.3</version>  
11.     </dependency>  
12.     <dependency>  
13.         <groupId>org.apache.shiro</groupId>  
14.         <artifactId>shiro-core</artifactId>  
15.         <version>1.2.2</version>  
16.     </dependency>  
17. </dependencies>   

Java代码  

1. [users]  
2. zhang=123  
3. wang=123  

Java代码  

1. @Test  
2. public void testHelloworld() {  
3.     //1、获取SecurityManager工厂，此处使用Ini配置文件初始化SecurityManager  
4.     Factory<org.apache.shiro.mgt.SecurityManager> factory =  
5.             new IniSecurityManagerFactory("classpath:shiro.ini");  
6.     //2、得到SecurityManager实例 并绑定给SecurityUtils  
7.     org.apache.shiro.mgt.SecurityManager securityManager = factory.getInstance();  
8.     SecurityUtils.setSecurityManager(securityManager);  
9.     //3、得到Subject及创建用户名/密码身份验证Token（即用户身份/凭证）  
10.     Subject subject = SecurityUtils.getSubject();  
11.     UsernamePasswordToken token = new UsernamePasswordToken("zhang", "123");  
12.   
13.     try {  
14.         //4、登录，即身份验证  
15.         subject.login(token);  
16.     } catch (AuthenticationException e) {  
17.         //5、身份验证失败  
18.     }  
19.   
20.     Assert.assertEquals(true, subject.isAuthenticated()); //断言用户已经登录  
21.   
22.     //6、退出  
23.     subject.logout();  
24. }  
25.    

Java代码  

1. String getName(); //返回一个唯一的Realm名字  
2. boolean supports(AuthenticationToken token); //判断此Realm是否支持此Token  
3. AuthenticationInfo getAuthenticationInfo(AuthenticationToken token)  
4.  throws AuthenticationException;  //根据Token获取认证信息  

Java代码  

1. public class MyRealm1 implements Realm {  
2.     @Override  
3.     public String getName() {  
4.         return "myrealm1";  
5.     }  
6.     @Override  
7.     public boolean supports(AuthenticationToken token) {  
8.         //仅支持UsernamePasswordToken类型的Token  
9.         return token instanceof UsernamePasswordToken;   
10.     }  
11.     @Override  
12.     public AuthenticationInfo getAuthenticationInfo(AuthenticationToken token) throws AuthenticationException {  
13.         String username = (String)token.getPrincipal();  //得到用户名  
14.         String password = new String((char[])token.getCredentials()); //得到密码  
15.         if(!"zhang".equals(username)) {  
16.             throw new UnknownAccountException(); //如果用户名错误  
17.         }  
18.         if(!"123".equals(password)) {  
19.             throw new IncorrectCredentialsException(); //如果密码错误  
20.         }  
21.         //如果身份认证验证成功，返回一个AuthenticationInfo实现；  
22.         return new SimpleAuthenticationInfo(username, password, getName());  
23.     }  
24. }   

Java代码  

1. #声明一个realm  
2. myRealm1=com.github.zhangkaitao.shiro.chapter2.realm.MyRealm1  
3. #指定securityManager的realms实现  
4. securityManager.realms=$myRealm1   

Java代码  

1. #声明一个realm  
2. myRealm1=com.github.zhangkaitao.shiro.chapter2.realm.MyRealm1  
3. myRealm2=com.github.zhangkaitao.shiro.chapter2.realm.MyRealm2  
4. #指定securityManager的realms实现  
5. securityManager.realms=$myRealm1,$myRealm2   

Java代码  

1. <dependency>  
2.     <groupId>mysql</groupId>  
3.     <artifactId>mysql-connector-java</artifactId>  
4.     <version>5.1.25</version>  
5. </dependency>  
6. <dependency>  
7.     <groupId>com.alibaba</groupId>  
8.     <artifactId>druid</artifactId>  
9.     <version>0.2.23</version>  
10. </dependency>   

Java代码  

1. jdbcRealm=org.apache.shiro.realm.jdbc.JdbcRealm  
2. dataSource=com.alibaba.druid.pool.DruidDataSource  
3. dataSource.driverClassName=com.mysql.jdbc.Driver  
4. dataSource.url=jdbc:mysql://localhost:3306/shiro  
5. dataSource.username=root  
6. #dataSource.password=  
7. jdbcRealm.dataSource=$dataSource  
8. securityManager.realms=$jdbcRealm   

Java代码  

1. public AuthenticationInfo authenticate(AuthenticationToken authenticationToken)  
2.             throws AuthenticationException;   

Java代码  

1. #指定securityManager的authenticator实现  
2. authenticator=org.apache.shiro.authc.pam.ModularRealmAuthenticator  
3. securityManager.authenticator=$authenticator  
4.   
5. #指定securityManager.authenticator的authenticationStrategy  
6. allSuccessfulStrategy=org.apache.shiro.authc.pam.AllSuccessfulStrategy  
7. securityManager.authenticator.authenticationStrategy=$allSuccessfulStrategy  

Java代码  

1. myRealm1=com.github.zhangkaitao.shiro.chapter2.realm.MyRealm1  
2. myRealm2=com.github.zhangkaitao.shiro.chapter2.realm.MyRealm2  
3. myRealm3=com.github.zhangkaitao.shiro.chapter2.realm.MyRealm3  
4. securityManager.realms=$myRealm1,$myRealm3  

Java代码  

1. private void login(String configFile) {  
2.     //1、获取SecurityManager工厂，此处使用Ini配置文件初始化SecurityManager  
3.     Factory<org.apache.shiro.mgt.SecurityManager> factory =  
4.             new IniSecurityManagerFactory(configFile);  
5.   
6.     //2、得到SecurityManager实例 并绑定给SecurityUtils  
7.     org.apache.shiro.mgt.SecurityManager securityManager = factory.getInstance();  
8.     SecurityUtils.setSecurityManager(securityManager);  
9.   
10.     //3、得到Subject及创建用户名/密码身份验证Token（即用户身份/凭证）  
11.     Subject subject = SecurityUtils.getSubject();  
12.     UsernamePasswordToken token = new UsernamePasswordToken("zhang", "123");  
13.   
14.     subject.login(token);  
15. }  

Java代码  

1. @Test  
2. public void testAllSuccessfulStrategyWithSuccess() {  
3.     login("classpath:shiro-authenticator-all-success.ini");  
4.     Subject subject = SecurityUtils.getSubject();  
5.   
6.     //得到一个身份集合，其包含了Realm验证成功的身份信息  
7.     PrincipalCollection principalCollection = subject.getPrincipals();  
8.     Assert.assertEquals(2, principalCollection.asList().size());  
9. }   

Java代码  

1.     @Test(expected = UnknownAccountException.class)  
2.     public void testAllSuccessfulStrategyWithFail() {  
3.         login("classpath:shiro-authenticator-all-fail.ini");  
4.         Subject subject = SecurityUtils.getSubject();  
5. }   

Java代码  

1. //在所有Realm验证之前调用  
2. AuthenticationInfo beforeAllAttempts(  
3. Collection<? extends Realm> realms, AuthenticationToken token)   
4. throws AuthenticationException;  
5. //在每个Realm之前调用  
6. AuthenticationInfo beforeAttempt(  
7. Realm realm, AuthenticationToken token, AuthenticationInfo aggregate)   
8. throws AuthenticationException;  
9. //在每个Realm之后调用  
10. AuthenticationInfo afterAttempt(  
11. Realm realm, AuthenticationToken token,   
12. AuthenticationInfo singleRealmInfo, AuthenticationInfo aggregateInfo, Throwable t)  
13. throws AuthenticationException;  
14. //在所有Realm之后调用  
15. AuthenticationInfo afterAllAttempts(  
16. AuthenticationToken token, AuthenticationInfo aggregate)   
17. throws AuthenticationException;   

Java代码  

1. Subject subject = SecurityUtils.getSubject();  
2. if(subject.hasRole(“admin”)) {  
3.     //有权限  
4. } else {  
5.     //无权限  
6. }   

Java代码  

1. @RequiresRoles("admin")  
2. public void hello() {  
3.     //有权限  
4. }   

Java代码  

1. <shiro:hasRole name="admin">  
2. <!— 有权限 —>  
3. </shiro:hasRole>   

Java代码  

1. [users]  
2. zhang=123,role1,role2  
3. wang=123,role1   

Java代码  

1. @Test  
2. public void testHasRole() {  
3.     login("classpath:shiro-role.ini", "zhang", "123");  
4.     //判断拥有角色：role1  
5.     Assert.assertTrue(subject().hasRole("role1"));  
6.     //判断拥有角色：role1 and role2  
7.     Assert.assertTrue(subject().hasAllRoles(Arrays.asList("role1", "role2")));  
8.     //判断拥有角色：role1 and role2 and !role3  
9.     boolean[] result = subject().hasRoles(Arrays.asList("role1", "role2", "role3"));  
10.     Assert.assertEquals(true, result[0]);  
11.     Assert.assertEquals(true, result[1]);  
12.     Assert.assertEquals(false, result[2]);  
13. }   

Java代码  

1. @Test(expected = UnauthorizedException.class)  
2. public void testCheckRole() {  
3.     login("classpath:shiro-role.ini", "zhang", "123");  
4.     //断言拥有角色：role1  
5.     subject().checkRole("role1");  
6.     //断言拥有角色：role1 and role3 失败抛出异常  
7.     subject().checkRoles("role1", "role3");  
8. }   

Java代码  

1. [users]  
2. zhang=123,role1,role2  
3. wang=123,role1  
4. [roles]  
5. role1=user:create,user:update  
6. role2=user:create,user:delete   

Java代码  

1. @Test  
2. public void testIsPermitted() {  
3.     login("classpath:shiro-permission.ini", "zhang", "123");  
4.     //判断拥有权限：user:create  
5.     Assert.assertTrue(subject().isPermitted("user:create"));  
6.     //判断拥有权限：user:update and user:delete  
7.     Assert.assertTrue(subject().isPermittedAll("user:update", "user:delete"));  
8.     //判断没有权限：user:view  
9.     Assert.assertFalse(subject().isPermitted("user:view"));  
10. }   

Java代码  

1. @Test(expected = UnauthorizedException.class)  
2. public void testCheckPermission () {  
3.     login("classpath:shiro-permission.ini", "zhang", "123");  
4.     //断言拥有权限：user:create  
5.     subject().checkPermission("user:create");  
6.     //断言拥有权限：user:delete and user:update  
7.     subject().checkPermissions("user:delete", "user:update");  
8.     //断言拥有权限：user:view 失败抛出异常  
9.     subject().checkPermissions("user:view");  
10. }   

Java代码  

1. subject().checkPermissions("system:user:update");  

Java代码  

1. role41=system:user:update,system:user:delete  

Java代码  

1. subject().checkPermissions("system:user:update", "system:user:delete");  

Java代码  

1. role42="system:user:update,delete"    

Java代码  

1. subject().checkPermissions("system:user:update,delete");  

Java代码  

1. role51="system:user:create,update,delete,view"  

Java代码  

1. subject().checkPermissions("system:user:create,delete,update:view");  

Java代码  

1. role52=system:user:*  

Java代码  

1. role53=system:user  

Java代码  

1. subject().checkPermissions("system:user:*");  
2. subject().checkPermissions("system:user");   

Java代码  

1. role61=*:view  

Java代码  

1. subject().checkPermissions("user:view");  

Java代码  

1. role71=user:view:1  

Java代码  

1. subject().checkPermissions("user:view:1");  

Java代码  

1. role72="user:update,delete:1"  

Java代码  

1. subject().checkPermissions("user:delete,update:1");  
2. subject().checkPermissions("user:update:1", "user:delete:1");   

Java代码  

1. role73=user:*:1  

Java代码  

1. subject().checkPermissions("user:update:1", "user:delete:1", "user:view:1");  

Java代码  

1. role74=user:auth:*  

Java代码  

1. subject().checkPermissions("user:auth:1", "user:auth:2");  

Java代码  

1. role75=user:*:*  

Java代码  

1. subject().checkPermissions("user:view:1", "user:auth:2");  

Java代码  

1. subject().checkPermission("menu:view:1");  
2. subject().checkPermission(new WildcardPermission("menu:view:1"));   

Java代码  

1. authorizer=org.apache.shiro.authz.ModularRealmAuthorizer  
2. securityManager.authorizer=$authorizer   

Java代码  

1. permissionResolver=org.apache.shiro.authz.permission.WildcardPermissionResolver  
2. authorizer.permissionResolver=$permissionResolver   

Java代码  

1. rolePermissionResolver=com.github.zhangkaitao.shiro.chapter3.permission.MyRolePermissionResolver  
2. authorizer.rolePermissionResolver=$rolePermissionResolver   

Java代码  

1. [main]  
2. #自定义authorizer  
3. authorizer=org.apache.shiro.authz.ModularRealmAuthorizer  
4. #自定义permissionResolver  
5. #permissionResolver=org.apache.shiro.authz.permission.WildcardPermissionResolver  
6. permissionResolver=com.github.zhangkaitao.shiro.chapter3.permission.BitAndWildPermissionResolver  
7. authorizer.permissionResolver=$permissionResolver  
8. #自定义rolePermissionResolver  
9. rolePermissionResolver=com.github.zhangkaitao.shiro.chapter3.permission.MyRolePermissionResolver  
10. authorizer.rolePermissionResolver=$rolePermissionResolver  
11.   
12. securityManager.authorizer=$authorizer  

Java代码  

1. #自定义realm 一定要放在securityManager.authorizer赋值之后（因为调用setRealms会将realms设置给authorizer，并给各个Realm设置permissionResolver和rolePermissionResolver）  
2. realm=com.github.zhangkaitao.shiro.chapter3.realm.MyRealm  
3. securityManager.realms=$realm   

Java代码  

1. public class BitPermission implements Permission {  
2.     private String resourceIdentify;  
3.     private int permissionBit;  
4.     private String instanceId;  
5.     public BitPermission(String permissionString) {  
6.         String[] array = permissionString.split("\\+");  
7.         if(array.length > 1) {  
8.             resourceIdentify = array[1];  
9.         }  
10.         if(StringUtils.isEmpty(resourceIdentify)) {  
11.             resourceIdentify = "*";  
12.         }  
13.         if(array.length > 2) {  
14.             permissionBit = Integer.valueOf(array[2]);  
15.         }  
16.         if(array.length > 3) {  
17.             instanceId = array[3];  
18.         }  
19.         if(StringUtils.isEmpty(instanceId)) {  
20.             instanceId = "*";  
21.         }  
22.     }  
23.   
24.     @Override  
25.     public boolean implies(Permission p) {  
26.         if(!(p instanceof BitPermission)) {  
27.             return false;  
28.         }  
29.         BitPermission other = (BitPermission) p;  
30.         if(!("*".equals(this.resourceIdentify) || this.resourceIdentify.equals(other.resourceIdentify))) {  
31.             return false;  
32.         }  
33.         if(!(this.permissionBit ==0 || (this.permissionBit & other.permissionBit) != 0)) {  
34.             return false;  
35.         }  
36.         if(!("*".equals(this.instanceId) || this.instanceId.equals(other.instanceId))) {  
37.             return false;  
38.         }  
39.         return true;  
40.     }  
41. }   

Java代码  

1. public class BitAndWildPermissionResolver implements PermissionResolver {  
2.     @Override  
3.     public Permission resolvePermission(String permissionString) {  
4.         if(permissionString.startsWith("+")) {  
5.             return new BitPermission(permissionString);  
6.         }  
7.         return new WildcardPermission(permissionString);  
8.     }  
9. }   

Java代码  

1. public class MyRolePermissionResolver implements RolePermissionResolver {  
2.     @Override  
3.     public Collection<Permission> resolvePermissionsInRole(String roleString) {  
4.         if("role1".equals(roleString)) {  
5.             return Arrays.asList((Permission)new WildcardPermission("menu:*"));  
6.         }  
7.         return null;  
8.     }  
9. }   

Java代码  

1. public class MyRealm extends AuthorizingRealm {  
2.     @Override  
3.     protected AuthorizationInfo doGetAuthorizationInfo(PrincipalCollection principals) {  
4.         SimpleAuthorizationInfo authorizationInfo = new SimpleAuthorizationInfo();  
5.         authorizationInfo.addRole("role1");  
6.         authorizationInfo.addRole("role2");  
7.         authorizationInfo.addObjectPermission(new BitPermission("+user1+10"));  
8.         authorizationInfo.addObjectPermission(new WildcardPermission("user1:*"));  
9.         authorizationInfo.addStringPermission("+user2+10");  
10.         authorizationInfo.addStringPermission("user2:*");  
11.         return authorizationInfo;  
12.     }  
13.     @Override  
14.     protected AuthenticationInfo doGetAuthenticationInfo(AuthenticationToken token) throws AuthenticationException {  
15.         //和com.github.zhangkaitao.shiro.chapter2.realm.MyRealm1. getAuthenticationInfo代码一样，省略  
16. }  
17. }   

Java代码  

1. public class AuthorizerTest extends BaseTest {  
2.   
3.     @Test  
4.     public void testIsPermitted() {  
5.         login("classpath:shiro-authorizer.ini", "zhang", "123");  
6.         //判断拥有权限：user:create  
7.         Assert.assertTrue(subject().isPermitted("user1:update"));  
8.         Assert.assertTrue(subject().isPermitted("user2:update"));  
9.         //通过二进制位的方式表示权限  
10.         Assert.assertTrue(subject().isPermitted("+user1+2"));//新增权限  
11.         Assert.assertTrue(subject().isPermitted("+user1+8"));//查看权限  
12.         Assert.assertTrue(subject().isPermitted("+user2+10"));//新增及查看  
13.   
14.         Assert.assertFalse(subject().isPermitted("+user1+4"));//没有删除权限  
15.   
16.         Assert.assertTrue(subject().isPermitted("menu:view"));//通过MyRolePermissionResolver解析得到的权限  
17.     }  
18. }   

Java代码  

1. DefaultSecurityManager securityManager = new DefaultSecurityManager();  
2. //设置authenticator  
3. ModularRealmAuthenticator authenticator = new ModularRealmAuthenticator();  
4. authenticator.setAuthenticationStrategy(new AtLeastOneSuccessfulStrategy());  
5. securityManager.setAuthenticator(authenticator);  
6.   
7. //设置authorizer  
8. ModularRealmAuthorizer authorizer = new ModularRealmAuthorizer();  
9. authorizer.setPermissionResolver(new WildcardPermissionResolver());  
10. securityManager.setAuthorizer(authorizer);  
11.   
12. //设置Realm  
13. DruidDataSource ds = new DruidDataSource();  
14. ds.setDriverClassName("com.mysql.jdbc.Driver");  
15. ds.setUrl("jdbc:mysql://localhost:3306/shiro");  
16. ds.setUsername("root");  
17. ds.setPassword("");  
18.   
19. JdbcRealm jdbcRealm = new JdbcRealm();  
20. jdbcRealm.setDataSource(ds);  
21. jdbcRealm.setPermissionsLookupEnabled(true);  
22. securityManager.setRealms(Arrays.asList((Realm) jdbcRealm));  
23.   
24. //将SecurityManager设置到SecurityUtils 方便全局使用  
25. SecurityUtils.setSecurityManager(securityManager);  
26.   
27. Subject subject = SecurityUtils.getSubject();  
28. UsernamePasswordToken token = new UsernamePasswordToken("zhang", "123");  
29. subject.login(token);  
30. Assert.assertTrue(subject.isAuthenticated());  
31.   
32.    

Java代码  

1. [main]  
2. #authenticator  
3. authenticator=org.apache.shiro.authc.pam.ModularRealmAuthenticator  
4. authenticationStrategy=org.apache.shiro.authc.pam.AtLeastOneSuccessfulStrategy  
5. authenticator.authenticationStrategy=$authenticationStrategy  
6. securityManager.authenticator=$authenticator  
7.   
8. #authorizer  
9. authorizer=org.apache.shiro.authz.ModularRealmAuthorizer  
10. permissionResolver=org.apache.shiro.authz.permission.WildcardPermissionResolver  
11. authorizer.permissionResolver=$permissionResolver  
12. securityManager.authorizer=$authorizer  
13.   
14. #realm  
15. dataSource=com.alibaba.druid.pool.DruidDataSource  
16. dataSource.driverClassName=com.mysql.jdbc.Driver  
17. dataSource.url=jdbc:mysql://localhost:3306/shiro  
18. dataSource.username=root  
19. #dataSource.password=  
20. jdbcRealm=org.apache.shiro.realm.jdbc.JdbcRealm  
21. jdbcRealm.dataSource=$dataSource  
22. jdbcRealm.permissionsLookupEnabled=true  
23. securityManager.realms=$jdbcRealm   

Java代码  

1. Factory<org.apache.shiro.mgt.SecurityManager> factory =  
2.          new IniSecurityManagerFactory("classpath:shiro-config.ini");  
3.   
4. org.apache.shiro.mgt.SecurityManager securityManager = factory.getInstance();  
5.   
6. //将SecurityManager设置到SecurityUtils 方便全局使用  
7. SecurityUtils.setSecurityManager(securityManager);  
8. Subject subject = SecurityUtils.getSubject();  
9. UsernamePasswordToken token = new UsernamePasswordToken("zhang", "123");  
10. subject.login(token);  
11.   
12. Assert.assertTrue(subject.isAuthenticated());   

Java代码  

1. [main]  
2. #提供了对根对象securityManager及其依赖的配置  
3. securityManager=org.apache.shiro.mgt.DefaultSecurityManager  
4. …………  
5. securityManager.realms=$jdbcRealm  
6.   
7. [users]  
8. #提供了对用户/密码及其角色的配置，用户名=密码，角色1，角色2  
9. username=password,role1,role2  
10.   
11. [roles]  
12. #提供了角色及权限之间关系的配置，角色=权限1，权限2  
13. role1=permission1,permission2  
14.   
15. [urls]  
16. #用于web，提供了对web url拦截相关的配置，url=拦截器[参数]，拦截器  
17. /index.html = anon  
18. /admin/** = authc, roles[admin], perms["permission1"]  

Java代码  

1. securityManager=org.apache.shiro.mgt.DefaultSecurityManager  

Java代码  

1. dataSource.driverClassName=com.mysql.jdbc.Driver  
2. jdbcRealm.permissionsLookupEnabled=true   

Java代码  

1. authenticator=org.apache.shiro.authc.pam.ModularRealmAuthenticator  
2. authenticationStrategy=org.apache.shiro.authc.pam.AtLeastOneSuccessfulStrategy  
3. authenticator.authenticationStrategy=$authenticationStrategy  
4. securityManager.authenticator=$authenticator   

Java代码  

1. securityManager.authenticator.authenticationStrategy=$authenticationStrategy   

Java代码  

1. #base64 byte[]  
2. authenticator.bytes=aGVsbG8=  
3. #hex byte[]  
4. authenticator.bytes=0x68656c6c6f   

Java代码  

1. authenticator.array=1,2,3  
2. authenticator.set=$jdbcRealm,$jdbcRealm   

Java代码  

1. authenticator.map=$jdbcRealm:$jdbcRealm,1:1,key:abc  

Java代码  

1. realm=Realm1  
2. realm=Realm12  
3.   
4. authenticator.bytes=aGVsbG8=  
5. authenticator.bytes=0x68656c6c6f   

Java代码  

1. [users]  
2. zhang=123,role1,role2  
3. wang=123   

Java代码  

1. [roles]  
2. role1=user:create,user:update  
3. role2=*   

Java代码  

1. [urls]  
2. /admin/** = authc, roles[admin], perms["permission1"]   

Java代码  

1. String str = "hello";  
2. String base64Encoded = Base64.encodeToString(str.getBytes());  
3. String str2 = Base64.decodeToString(base64Encoded);  
4. Assert.assertEquals(str, str2);   

Java代码  

1. String str = "hello";  
2. String base64Encoded = Hex.encodeToString(str.getBytes());  
3. String str2 = new String(Hex.decode(base64Encoded.getBytes()));  
4. Assert.assertEquals(str, str2);   

Java代码  

1. String str = "hello";  
2. String salt = "123";  
3. String md5 = new Md5Hash(str, salt).toString();//还可以转换为 toBase64()/toHex()   

Java代码  

1. String str = "hello";  
2. String salt = "123";  
3. String sha1 = new Sha256Hash(str, salt).toString();   

Java代码  

1. String str = "hello";  
2. String salt = "123";  
3. //内部使用MessageDigest  
4. String simpleHash = new SimpleHash("SHA-1", str, salt).toString();   

Java代码  

1. DefaultHashService hashService = new DefaultHashService(); //默认算法SHA-512  
2. hashService.setHashAlgorithmName("SHA-512");  
3. hashService.setPrivateSalt(new SimpleByteSource("123")); //私盐，默认无  
4. hashService.setGeneratePublicSalt(true);//是否生成公盐，默认false  
5. hashService.setRandomNumberGenerator(new SecureRandomNumberGenerator());//用于生成公盐。默认就这个  
6. hashService.setHashIterations(1); //生成Hash值的迭代次数  
7.   
8. HashRequest request = new HashRequest.Builder()  
9.             .setAlgorithmName("MD5").setSource(ByteSource.Util.bytes("hello"))  
10.             .setSalt(ByteSource.Util.bytes("123")).setIterations(2).build();  
11. String hex = hashService.computeHash(request).toHex();   

Java代码  

1. SecureRandomNumberGenerator randomNumberGenerator =  
2.      new SecureRandomNumberGenerator();  
3. randomNumberGenerator.setSeed("123".getBytes());  
4. String hex = randomNumberGenerator.nextBytes().toHex();   

Java代码  

1. AesCipherService aesCipherService = new AesCipherService();  
2. aesCipherService.setKeySize(128); //设置key长度  
3. //生成key  
4. Key key = aesCipherService.generateNewKey();  
5. String text = "hello";  
6. //加密  
7. String encrptText =   
8. aesCipherService.encrypt(text.getBytes(), key.getEncoded()).toHex();  
9. //解密  
10. String text2 =  
11.  new String(aesCipherService.decrypt(Hex.decode(encrptText), key.getEncoded()).getBytes());  
12.   
13. Assert.assertEquals(text, text2);   

Java代码  

1. public interface PasswordService {  
2.     //输入明文密码得到密文密码  
3.     String encryptPassword(Object plaintextPassword) throws IllegalArgumentException;  
4. }  

Java代码  

1. public interface CredentialsMatcher {  
2.     //匹配用户输入的token的凭证（未加密）与系统提供的凭证（已加密）  
3.     boolean doCredentialsMatch(AuthenticationToken token, AuthenticationInfo info);  
4. }   

Java代码  

1. public class MyRealm extends AuthorizingRealm {  
2.     private PasswordService passwordService;  
3.     public void setPasswordService(PasswordService passwordService) {  
4.         this.passwordService = passwordService;  
5.     }  
6.      //省略doGetAuthorizationInfo，具体看代码   
7.     @Override  
8.     protected AuthenticationInfo doGetAuthenticationInfo(AuthenticationToken token) throws AuthenticationException {  
9.         return new SimpleAuthenticationInfo(  
10.                 "wu",  
11.                 passwordService.encryptPassword("123"),  
12.                 getName());  
13.     }  
14. }   

Java代码  

1. [main]  
2. passwordService=org.apache.shiro.authc.credential.DefaultPasswordService  
3. hashService=org.apache.shiro.crypto.hash.DefaultHashService  
4. passwordService.hashService=$hashService  
5. hashFormat=org.apache.shiro.crypto.hash.format.Shiro1CryptFormat  
6. passwordService.hashFormat=$hashFormat  
7. hashFormatFactory=org.apache.shiro.crypto.hash.format.DefaultHashFormatFactory  
8. passwordService.hashFormatFactory=$hashFormatFactory  
9.   
10. passwordMatcher=org.apache.shiro.authc.credential.PasswordMatcher  
11. passwordMatcher.passwordService=$passwordService  
12.   
13. myRealm=com.github.zhangkaitao.shiro.chapter5.hash.realm.MyRealm  
14. myRealm.passwordService=$passwordService  
15. myRealm.credentialsMatcher=$passwordMatcher  
16. securityManager.realms=$myRealm   

Java代码  

1. String algorithmName = "md5";  
2. String username = "liu";  
3. String password = "123";  
4. String salt1 = username;  
5. String salt2 = new SecureRandomNumberGenerator().nextBytes().toHex();  
6. int hashIterations = 2;  
7.   
8. SimpleHash hash = new SimpleHash(algorithmName, password, salt1 + salt2, hashIterations);  
9. String encodedPassword = hash.toHex();   

Java代码  

1. protected AuthenticationInfo doGetAuthenticationInfo(AuthenticationToken token) throws AuthenticationException {  
2.     String username = "liu"; //用户名及salt1  
3.     String password = "202cb962ac59075b964b07152d234b70"; //加密后的密码  
4.     String salt2 = "202cb962ac59075b964b07152d234b70";  
5. SimpleAuthenticationInfo ai =   
6.         new SimpleAuthenticationInfo(username, password, getName());  
7.     ai.setCredentialsSalt(ByteSource.Util.bytes(username+salt2)); //盐是用户名+随机数  
8.         return ai;  
9. }   

Java代码  

1. jdbcRealm.saltStyle=COLUMN  
2. jdbcRealm.authenticationQuery=select password, concat(username,password_salt) from users where username = ?  
3. jdbcRealm.credentialsMatcher=$credentialsMatcher   

Java代码  

1. [main]  
2. credentialsMatcher=org.apache.shiro.authc.credential.HashedCredentialsMatcher  
3. credentialsMatcher.hashAlgorithmName=md5  
4. credentialsMatcher.hashIterations=2  
5. credentialsMatcher.storedCredentialsHexEncoded=true  
6. myRealm=com.github.zhangkaitao.shiro.chapter5.hash.realm.MyRealm2  
7. myRealm.credentialsMatcher=$credentialsMatcher  
8. securityManager.realms=$myRealm   

Java代码  

1. public boolean doCredentialsMatch(AuthenticationToken token, AuthenticationInfo info) {  
2.        String username = (String)token.getPrincipal();  
3.         //retry count + 1  
4.         Element element = passwordRetryCache.get(username);  
5.         if(element == null) {  
6.             element = new Element(username , new AtomicInteger(0));  
7.             passwordRetryCache.put(element);  
8.         }  
9.         AtomicInteger retryCount = (AtomicInteger)element.getObjectValue();  
10.         if(retryCount.incrementAndGet() > 5) {  
11.             //if retry count > 5 throw  
12.             throw new ExcessiveAttemptsException();  
13.         }  
14.   
15.         boolean matches = super.doCredentialsMatch(token, info);  
16.         if(matches) {  
17.             //clear retry count  
18.             passwordRetryCache.remove(username);  
19.         }  
20.         return matches;  
21. }   

Java代码  

1. public interface PermissionService {  
2.     public Permission createPermission(Permission permission);  
3.     public void deletePermission(Long permissionId);  
4. }  

Java代码  

1. public interface RoleService {  
2.     public Role createRole(Role role);  
3.     public void deleteRole(Long roleId);  
4.     //添加角色-权限之间关系  
5.     public void correlationPermissions(Long roleId, Long... permissionIds);  
6.     //移除角色-权限之间关系  
7.     public void uncorrelationPermissions(Long roleId, Long... permissionIds);//  
8. }   

Java代码  

1. public interface UserService {  
2.     public User createUser(User user); //创建账户  
3.     public void changePassword(Long userId, String newPassword);//修改密码  
4.     public void correlationRoles(Long userId, Long... roleIds); //添加用户-角色关系  
5.     public void uncorrelationRoles(Long userId, Long... roleIds);// 移除用户-角色关系  
6.     public User findByUsername(String username);// 根据用户名查找用户  
7.     public Set<String> findRoles(String username);// 根据用户名查找其角色  
8.     public Set<String> findPermissions(String username); //根据用户名查找其权限  
9. }   

Java代码  

1. public User createUser(User user) {  
2.     //加密密码  
3.     passwordHelper.encryptPassword(user);  
4.     return userDao.createUser(user);  
5. }  
6. public void changePassword(Long userId, String newPassword) {  
7.     User user =userDao.findOne(userId);  
8.     user.setPassword(newPassword);  
9.     passwordHelper.encryptPassword(user);  
10.     userDao.updateUser(user);  
11. }   

Java代码  

1. public class PasswordHelper {  
2.     private RandomNumberGenerator randomNumberGenerator =  
3.      new SecureRandomNumberGenerator();  
4.     private String algorithmName = "md5";  
5.     private final int hashIterations = 2;  
6.     public void encryptPassword(User user) {  
7.         user.setSalt(randomNumberGenerator.nextBytes().toHex());  
8.         String newPassword = new SimpleHash(  
9.                 algorithmName,  
10.                 user.getPassword(),  
11.                 ByteSource.Util.bytes(user.getCredentialsSalt()),  
12.                 hashIterations).toHex();  
13.         user.setPassword(newPassword);  
14.     }  
15. }   

Java代码  

1. public class UserRealm extends AuthorizingRealm {  
2.     private UserService userService = new UserServiceImpl();  
3.     protected AuthorizationInfo doGetAuthorizationInfo(PrincipalCollection principals) {  
4.         String username = (String)principals.getPrimaryPrincipal();  
5.         SimpleAuthorizationInfo authorizationInfo = new SimpleAuthorizationInfo();  
6.         authorizationInfo.setRoles(userService.findRoles(username));  
7.         authorizationInfo.setStringPermissions(userService.findPermissions(username));  
8.         return authorizationInfo;  
9.     }  
10.     protected AuthenticationInfo doGetAuthenticationInfo(AuthenticationToken token) throws AuthenticationException {  
11.         String username = (String)token.getPrincipal();  
12.         User user = userService.findByUsername(username);  
13.         if(user == null) {  
14.             throw new UnknownAccountException();//没找到帐号  
15.         }  
16.         if(Boolean.TRUE.equals(user.getLocked())) {  
17.             throw new LockedAccountException(); //帐号锁定  
18.         }  
19.         //交给AuthenticatingRealm使用CredentialsMatcher进行密码匹配，如果觉得人家的不好可以在此判断或自定义实现  
20.         SimpleAuthenticationInfo authenticationInfo = new SimpleAuthenticationInfo(  
21.                 user.getUsername(), //用户名  
22.                 user.getPassword(), //密码  
23.                 ByteSource.Util.bytes(user.getCredentialsSalt()),//salt=username+salt  
24.                 getName()  //realm name  
25.         );  
26.         return authenticationInfo;  
27.     }  
28. }   

Java代码  

1. public interface AuthenticationToken extends Serializable {  
2.     Object getPrincipal(); //身份  
3.     Object getCredentials(); //凭据  
4. }   

Java代码  

1. public interface PrincipalCollection extends Iterable, Serializable {  
2.     Object getPrimaryPrincipal(); //得到主要的身份  
3.     <T> T oneByType(Class<T> type); //根据身份类型获取第一个  
4.     <T> Collection<T> byType(Class<T> type); //根据身份类型获取一组  
5.     List asList(); //转换为List  
6.     Set asSet(); //转换为Set  
7.     Collection fromRealm(String realmName); //根据Realm名字获取  
8.     Set<String> getRealmNames(); //获取所有身份验证通过的Realm名字  
9.     boolean isEmpty(); //判断是否为空  
10. }   

Java代码  

1. public interface MutablePrincipalCollection extends PrincipalCollection {  
2.     void add(Object principal, String realmName); //添加Realm-Principal的关联  
3.     void addAll(Collection principals, String realmName); //添加一组Realm-Principal的关联  
4.     void addAll(PrincipalCollection principals);//添加PrincipalCollection  
5.     void clear();//清空  
6. }   

Java代码  

1. public class MyRealm1 implements Realm {  
2.     @Override  
3.     public String getName() {  
4.         return "a"; //realm name 为 “a”  
5.     }  
6.     //省略supports方法，具体请见源码  
7.     @Override  
8.     public AuthenticationInfo getAuthenticationInfo(AuthenticationToken token) throws AuthenticationException {  
9.         return new SimpleAuthenticationInfo(  
10.                 "zhang", //身份 字符串类型  
11.                 "123",   //凭据  
12.                 getName() //Realm Name  
13.         );  
14.     }  
15. }  

Java代码  

1. public class MyRealm3 implements Realm {  
2.     @Override  
3.     public String getName() {  
4.         return "c"; //realm name 为 “c”  
5.     }  
6.     //省略supports方法，具体请见源码  
7.     @Override  
8.     public AuthenticationInfo getAuthenticationInfo(AuthenticationToken token) throws AuthenticationException {  
9.         User user = new User("zhang", "123");  
10.         return new SimpleAuthenticationInfo(  
11.                 user, //身份 User类型  
12.                 "123",   //凭据  
13.                 getName() //Realm Name  
14.         );  
15.     }  
16. }   

Java代码  

1. [main]  
2. realm1=com.github.zhangkaitao.shiro.chapter6.realm.MyRealm1  
3. realm2=com.github.zhangkaitao.shiro.chapter6.realm.MyRealm2  
4. realm3=com.github.zhangkaitao.shiro.chapter6.realm.MyRealm3  
5. securityManager.realms=$realm1,$realm2,$realm3   

Java代码  

1. Object primaryPrincipal1 = subject.getPrincipal();  
2. PrincipalCollection princialCollection = subject.getPrincipals();  
3. Object primaryPrincipal2 = princialCollection.getPrimaryPrincipal();   

Java代码  

1. Set<String> realmNames = princialCollection.getRealmNames();  

Java代码  

1. Set<Object> principals = princialCollection.asSet(); //asList和asSet的结果一样  

Java代码  

1. Collection<User> users = princialCollection.fromRealm("c");  

Java代码  

1. public interface AuthorizationInfo extends Serializable {  
2.     Collection<String> getRoles(); //获取角色字符串信息  
3.     Collection<String> getStringPermissions(); //获取权限字符串信息  
4.     Collection<Permission> getObjectPermissions(); //获取Permission对象信息  
5. }   

Java代码  

1. Object getPrincipal(); //Primary Principal  
2. PrincipalCollection getPrincipals(); // PrincipalCollection   

Java代码  

1. void login(AuthenticationToken token) throws AuthenticationException;  
2. boolean isAuthenticated();  
3. boolean isRemembered();  

Java代码  

1. boolean hasRole(String roleIdentifier);  
2. boolean[] hasRoles(List<String> roleIdentifiers);  
3. boolean hasAllRoles(Collection<String> roleIdentifiers);  
4. void checkRole(String roleIdentifier) throws AuthorizationException;  
5. void checkRoles(Collection<String> roleIdentifiers) throws AuthorizationException;  
6. void checkRoles(String... roleIdentifiers) throws AuthorizationException;   

Java代码  

1. boolean isPermitted(String permission);  
2. boolean isPermitted(Permission permission);  
3. boolean[] isPermitted(String... permissions);  
4. boolean[] isPermitted(List<Permission> permissions);  
5. boolean isPermittedAll(String... permissions);  
6. boolean isPermittedAll(Collection<Permission> permissions);  
7. void checkPermission(String permission) throws AuthorizationException;  
8. void checkPermission(Permission permission) throws AuthorizationException;  
9. void checkPermissions(String... permissions) throws AuthorizationException;  
10. void checkPermissions(Collection<Permission> permissions) throws AuthorizationException;  

Java代码  

1. Session getSession(); //相当于getSession(true)  
2. Session getSession(boolean create);    

Java代码  

1. void logout();  

Java代码  

1. void runAs(PrincipalCollection principals) throws NullPointerException, IllegalStateException;  
2. boolean isRunAs();  
3. PrincipalCollection getPreviousPrincipals();  
4. PrincipalCollection releaseRunAs();   

Java代码  

1. <V> V execute(Callable<V> callable) throws ExecutionException;  
2. void execute(Runnable runnable);  
3. <V> Callable<V> associateWith(Callable<V> callable);  
4. Runnable associateWith(Runnable runnable);   

Java代码  

1. public static Subject getSubject() {  
2.     Subject subject = ThreadContext.getSubject();  
3.     if (subject == null) {  
4.         subject = (new Subject.Builder()).buildSubject();  
5.         ThreadContext.bind(subject);  
6.     }  
7.     return subject;  
8. }   

Java代码  

1. new Subject.Builder().principals(身份).authenticated(true/false).buildSubject()  

Java代码  

1. <dependency>  
2.     <groupId>javax.servlet</groupId>  
3.     <artifactId>javax.servlet-api</artifactId>  
4.     <version>3.0.1</version>  
5.     <scope>provided</scope>  
6. </dependency>   

Java代码  

1. <dependency>  
2.     <groupId>org.apache.shiro</groupId>  
3.     <artifactId>shiro-web</artifactId>  
4.     <version>1.2.2</version>  
5. </dependency>   

Java代码  

1. <filter>  
2.     <filter-name>iniShiroFilter</filter-name>  
3.     <filter-class>org.apache.shiro.web.servlet.IniShiroFilter</filter-class>  
4.     <init-param>  
5.         <param-name>configPath</param-name>  
6.         <param-value>classpath:shiro.ini</param-value>  
7.     </init-param>  
8. </filter>  
9. <filter-mapping>  
10.     <filter-name>iniShiroFilter</filter-name>  
11.     <url-pattern>/*</url-pattern>  
12. </filter-mapping>   

Java代码  

1. <init-param>  
2.     <param-name>config</param-name>  
3.     <param-value>  
4.         ini配置文件贴在这  
5.     </param-value>  
6. </init-param>  

Java代码  

1. <listener>  
2.    <listener-class>org.apache.shiro.web.env.EnvironmentLoaderListener</listener-class>  
3. </listener>   

Java代码  

1. <context-param>  
2.    <param-name>shiroEnvironmentClass</param-name>  
3.    <param-value>org.apache.shiro.web.env.IniWebEnvironment</param-value>  
4. </context-param>  
5.     <context-param>  
6.         <param-name>shiroConfigLocations</param-name>  
7.         <param-value>classpath:shiro.ini</param-value>  
8.     </context-param>   

Java代码  

1. <filter>  
2.     <filter-name>shiroFilter</filter-name>  
3.     <filter-class>org.springframework.web.filter.DelegatingFilterProxy</filter-class>  
4.     <init-param>  
5.         <param-name>targetFilterLifecycle</param-name>  
6.         <param-value>true</param-value>  
7.     </init-param>  
8. </filter>  
9. <filter-mapping>  
10.     <filter-name>shiroFilter</filter-name>  
11.     <url-pattern>/*</url-pattern>  
12. </filter-mapping>   

Java代码  

1. <bean id="shiroFilter" class="org.apache.shiro.spring.web.ShiroFilterFactoryBean">  
2. <property name="securityManager" ref="securityManager"/>  
3. <!—忽略其他，详见与Spring集成部分 -->  
4. </bean>   

Java代码  

1. [main]  
2. #默认是/login.jsp  
3. authc.loginUrl=/login  
4. roles.unauthorizedUrl=/unauthorized  
5. perms.unauthorizedUrl=/unauthorized  
6. [users]  
7. zhang=123,admin  
8. wang=123  
9. [roles]  
10. admin=user:*,menu:*  
11. [urls]  
12. /login=anon  
13. /unauthorized=anon  
14. /static/**=anon  
15. /authenticated=authc  
16. /role=authc,roles[admin]  
17. /permission=authc,perms["user:create"]   

Java代码  

1. /bb/**=filter1  
2. /bb/aa=filter2  
3. /**=filter3   

Java代码  

1. /authenticated=authc  
2. /role=authc,roles[admin]  
3. /permission=authc,perms["user:create"]   

Java代码  

1. authc.loginUrl=/login  

Java代码  

1. @WebServlet(name = "loginServlet", urlPatterns = "/login")  
2. public class LoginServlet extends HttpServlet {  
3.     @Override  
4.     protected void doGet(HttpServletRequest req, HttpServletResponse resp)  
5.       throws ServletException, IOException {  
6.         req.getRequestDispatcher("/WEB-INF/jsp/login.jsp").forward(req, resp);  
7.     }  
8.     @Override  
9.     protected void doPost(HttpServletRequest req, HttpServletResponse resp)  
10.       throws ServletException, IOException {  
11.         String error = null;  
12.         String username = req.getParameter("username");  
13.         String password = req.getParameter("password");  
14.         Subject subject = SecurityUtils.getSubject();  
15.         UsernamePasswordToken token = new UsernamePasswordToken(username, password);  
16.         try {  
17.             subject.login(token);  
18.         } catch (UnknownAccountException e) {  
19.             error = "用户名/密码错误";  
20.         } catch (IncorrectCredentialsException e) {  
21.             error = "用户名/密码错误";  
22.         } catch (AuthenticationException e) {  
23.             //其他错误，比如锁定，如果想单独处理请单独catch处理  
24.             error = "其他错误：" + e.getMessage();  
25.         }  
26.         if(error != null) {//出错了，返回登录页面  
27.             req.setAttribute("error", error);  
28.             req.getRequestDispatcher("/WEB-INF/jsp/login.jsp").forward(req, resp);  
29.         } else {//登录成功  
30.             req.getRequestDispatcher("/WEB-INF/jsp/loginSuccess.jsp").forward(req, resp);  
31.         }  
32.     }  
33. }   

Java代码  

1. ${subject.principal}身份验证已通过。  

Java代码  

1. [main]  
2. authcBasic.applicationName=please login  
3. ………省略users  
4. [urls]  
5. /role=authcBasic,roles[admin]   

Java代码  

1. [main]  
2. authc.loginUrl=/formfilterlogin  
3. authc.usernameParam=username  
4. authc.passwordParam=password  
5. authc.successUrl=/  
6. authc.failureKeyAttribute=shiroLoginFailure  
7.   
8. [urls]  
9. /role=authc,roles[admin]   

Java代码  

1. @WebServlet(name = "formFilterLoginServlet", urlPatterns = "/formfilterlogin")  
2. public class FormFilterLoginServlet extends HttpServlet {  
3.     @Override  
4.     protected void doGet(HttpServletRequest req, HttpServletResponse resp)  
5.       throws ServletException, IOException {  
6.         doPost(req, resp);  
7.     }  
8.     @Override  
9.     protected void doPost(HttpServletRequest req, HttpServletResponse resp)  
10.      throws ServletException, IOException {  
11.         String errorClassName = (String)req.getAttribute("shiroLoginFailure");  
12.         if(UnknownAccountException.class.getName().equals(errorClassName)) {  
13.             req.setAttribute("error", "用户名/密码错误");  
14.         } else if(IncorrectCredentialsException.class.getName().equals(errorClassName)) {  
15.             req.setAttribute("error", "用户名/密码错误");  
16.         } else if(errorClassName != null) {  
17.             req.setAttribute("error", "未知错误：" + errorClassName);  
18.         }  
19.         req.getRequestDispatcher("/WEB-INF/jsp/formfilterlogin.jsp").forward(req, resp);  
20.     }  
21. }  

Java代码  

1. [main]  
2. roles.unauthorizedUrl=/unauthorized  
3. perms.unauthorizedUrl=/unauthorized  
4.  [urls]  
5. /role=authc,roles[admin]  
6. /permission=authc,perms["user:create"]   

Java代码  

1. @WebServlet(name = "permissionServlet", urlPatterns = "/permission")  
2. public class PermissionServlet extends HttpServlet {  
3.     @Override  
4.     protected void doGet(HttpServletRequest req, HttpServletResponse resp)  
5.       throws ServletException, IOException {  
6.         Subject subject = SecurityUtils.getSubject();  
7.         subject.checkPermission("user:create");  
8.         req.getRequestDispatcher("/WEB-INF/jsp/hasPermission.jsp").forward(req, resp);  
9.     }  
10. }  

Java代码  

1. @WebServlet(name = "roleServlet", urlPatterns = "/role")  
2. public class RoleServlet extends HttpServlet {  
3.     @Override  
4.     protected void doGet(HttpServletRequest req, HttpServletResponse resp)  
5.       throws ServletException, IOException {  
6.         Subject subject = SecurityUtils.getSubject();  
7.         subject.checkRole("admin");  
8.         req.getRequestDispatcher("/WEB-INF/jsp/hasRole.jsp").forward(req, resp);  
9.     }  
10. }   

Java代码  

1. [urls]  
2. /logout=anon   

Java代码  

1. @WebServlet(name = "logoutServlet", urlPatterns = "/logout")  
2. public class LogoutServlet extends HttpServlet {  
3.     protected void doGet(HttpServletRequest req, HttpServletResponse resp)  
4.       throws ServletException, IOException {  
5.         SecurityUtils.getSubject().logout();  
6.         req.getRequestDispatcher("/WEB-INF/jsp/logoutSuccess.jsp").forward(req, resp);  
7.     }  
8. }   

Java代码  

1. [main]  
2. logout.redirectUrl=/login  
3.   
4. [urls]  
5. /logout2=logout   

Java代码  

1. boolean preHandle(ServletRequest request, ServletResponse response) throws Exception  
2. void postHandle(ServletRequest request, ServletResponse response) throws Exception  
3. void afterCompletion(ServletRequest request, ServletResponse response, Exception exception) throws Exception;   

Java代码  

1. boolean pathsMatch(String path, ServletRequest request)  
2. boolean onPreHandle(ServletRequest request, ServletResponse response, Object mappedValue) throws Exception   

Java代码  

1. abstract boolean isAccessAllowed(ServletRequest request, ServletResponse response, Object mappedValue) throws Exception;  
2. boolean onAccessDenied(ServletRequest request, ServletResponse response, Object mappedValue) throws Exception;  
3. abstract boolean onAccessDenied(ServletRequest request, ServletResponse response) throws Exception;   

Java代码  

1. boolean onPreHandle(ServletRequest request, ServletResponse response, Object mappedValue) throws Exception {  
2.     return isAccessAllowed(request, response, mappedValue) || onAccessDenied(request, response, mappedValue);  
3. }   

Java代码  

1. void setLoginUrl(String loginUrl) //身份验证时使用，默认/login.jsp  
2. String getLoginUrl()  
3. Subject getSubject(ServletRequest request, ServletResponse response) //获取Subject实例  
4. boolean isLoginRequest(ServletRequest request, ServletResponse response)//当前请求是否是登录请求  
5. void saveRequestAndRedirectToLogin(ServletRequest request, ServletResponse response) throws IOException //将当前请求保存起来并重定向到登录页面  
6. void saveRequest(ServletRequest request) //将请求保存起来，如登录成功后再重定向回该请求  
7. void redirectToLogin(ServletRequest request, ServletResponse response) //重定向到登录页面   

Java代码  

1. FilterChain getChain(ServletRequest request, ServletResponse response, FilterChain originalChain);  

Java代码  

1. public enum DefaultFilter {  
2.     anon(AnonymousFilter.class),  
3.     authc(FormAuthenticationFilter.class),  
4.     authcBasic(BasicHttpAuthenticationFilter.class),  
5.     logout(LogoutFilter.class),  
6.     noSessionCreation(NoSessionCreationFilter.class),  
7.     perms(PermissionsAuthorizationFilter.class),  
8.     port(PortFilter.class),  
9.     rest(HttpMethodPermissionFilter.class),  
10.     roles(RolesAuthorizationFilter.class),  
11.     ssl(SslFilter.class),  
12.     user(UserFilter.class);  
13. }   

Java代码  

1. public class MyIniWebEnvironment extends IniWebEnvironment {  
2.     @Override  
3.     protected FilterChainResolver createFilterChainResolver() {  
4.         //在此处扩展自己的FilterChainResolver  
5.         return super.createFilterChainResolver();  
6.     }  
7. }   

Java代码  

1. //1、创建FilterChainResolver  
2. PathMatchingFilterChainResolver filterChainResolver =  
3.         new PathMatchingFilterChainResolver();  
4. //2、创建FilterChainManager  
5. DefaultFilterChainManager filterChainManager = new DefaultFilterChainManager();  
6. //3、注册Filter  
7. for(DefaultFilter filter : DefaultFilter.values()) {  
8.     filterChainManager.addFilter(  
9.         filter.name(), (Filter) ClassUtils.newInstance(filter.getFilterClass()));  
10. }  
11. //4、注册URL-Filter的映射关系  
12. filterChainManager.addToChain("/login.jsp", "authc");  
13. filterChainManager.addToChain("/unauthorized.jsp", "anon");  
14. filterChainManager.addToChain("/**", "authc");  
15. filterChainManager.addToChain("/**", "roles", "admin");  
16.   
17. //5、设置Filter的属性  
18. FormAuthenticationFilter authcFilter =  
19.          (FormAuthenticationFilter)filterChainManager.getFilter("authc");  
20. authcFilter.setLoginUrl("/login.jsp");  
21. RolesAuthorizationFilter rolesFilter =  
22.           (RolesAuthorizationFilter)filterChainManager.getFilter("roles");  
23. rolesFilter.setUnauthorizedUrl("/unauthorized.jsp");  
24.   
25. filterChainResolver.setFilterChainManager(filterChainManager);  
26. return filterChainResolver;   

Java代码  

1. <context-param>  
2. <param-name>shiroEnvironmentClass</param-name> <param-value>com.github.zhangkaitao.shiro.chapter8.web.env.MyIniWebEnvironment</param-value>  
3. </context-param>   

Java代码  

1. public class MyOncePerRequestFilter extends OncePerRequestFilter {  
2.     @Override  
3.     protected void doFilterInternal(ServletRequest request, ServletResponse response, FilterChain chain) throws ServletException, IOException {  
4.         System.out.println("=========once per request filter");  
5.         chain.doFilter(request, response);  
6.     }  
7. }   

Java代码  

1. [main]  
2. myFilter1=com.github.zhangkaitao.shiro.chapter8.web.filter.MyOncePerRequestFilter  
3. #[filters]  
4. #myFilter1=com.github.zhangkaitao.shiro.chapter8.web.filter.MyOncePerRequestFilter  
5. [urls]  
6. /**=myFilter1   

Java代码  

1. public class MyAdviceFilter extends AdviceFilter {  
2.     @Override  
3.     protected boolean preHandle(ServletRequest request, ServletResponse response) throws Exception {  
4.         System.out.println("====预处理/前置处理");  
5.         return true;//返回false将中断后续拦截器链的执行  
6.     }  
7.     @Override  
8.     protected void postHandle(ServletRequest request, ServletResponse response) throws Exception {  
9.         System.out.println("====后处理/后置返回处理");  
10.     }  
11.     @Override  
12.     public void afterCompletion(ServletRequest request, ServletResponse response, Exception exception) throws Exception {  
13.         System.out.println("====完成处理/后置最终处理");  
14.     }  
15. }   

Java代码  

1. [filters]  
2. myFilter1=com.github.zhangkaitao.shiro.chapter8.web.filter.MyOncePerRequestFilter  
3. myFilter2=com.github.zhangkaitao.shiro.chapter8.web.filter.MyAdviceFilter  
4. [urls]  
5. /**=myFilter1,myFilter2   

Java代码  

1. public class MyPathMatchingFilter extends PathMatchingFilter {  
2.     @Override  
3.     protected boolean onPreHandle(ServletRequest request, ServletResponse response, Object mappedValue) throws Exception {  
4.        System.out.println("url matches,config is " + Arrays.toString((String[])mappedValue));  
5.        return true;  
6.     }  
7. }   

Java代码  

1. [filters]  
2. myFilter3=com.github.zhangkaitao.shiro.chapter8.web.filter.MyPathMatchingFilter  
3. [urls]  
4. /**= myFilter3[config]   

Java代码  

1. public boolean onPreHandle(ServletRequest request, ServletResponse response, Object mappedValue) throws Exception {  
2.     return isAccessAllowed(request, response, mappedValue)  
3.      || onAccessDenied(request, response, mappedValue);  
4. }   

Java代码  

1. public class MyAccessControlFilter extends AccessControlFilter {  
2.     protected boolean isAccessAllowed(ServletRequest request, ServletResponse response, Object mappedValue) throws Exception {  
3.         System.out.println("access allowed");  
4.         return true;  
5.     }  
6.     protected boolean onAccessDenied(ServletRequest request, ServletResponse response) throws Exception {  
7.         System.out.println("访问拒绝也不自己处理，继续拦截器链的执行");  
8.         return true;  
9.     }  
10. }   

Java代码  

1. [filters]  
2. myFilter4=com.github.zhangkaitao.shiro.chapter8.web.filter.MyAccessControlFilter  
3. [urls]  
4. /**=myFilter4  

Java代码  

1. public class FormLoginFilter extends PathMatchingFilter {  
2.     private String loginUrl = "/login.jsp";  
3.     private String successUrl = "/";  
4.     @Override  
5.     protected boolean onPreHandle(ServletRequest request, ServletResponse response, Object mappedValue) throws Exception {  
6.         if(SecurityUtils.getSubject().isAuthenticated()) {  
7.             return true;//已经登录过  
8.         }  
9.         HttpServletRequest req = (HttpServletRequest) request;  
10.         HttpServletResponse resp = (HttpServletResponse) response;  
11.         if(isLoginRequest(req)) {  
12.             if("post".equalsIgnoreCase(req.getMethod())) {//form表单提交  
13.                 boolean loginSuccess = login(req); //登录  
14.                 if(loginSuccess) {  
15.                     return redirectToSuccessUrl(req, resp);  
16.                 }  
17.             }  
18.             return true;//继续过滤器链  
19.         } else {//保存当前地址并重定向到登录界面  
20.             saveRequestAndRedirectToLogin(req, resp);  
21.             return false;  
22.         }  
23.     }  
24.     private boolean redirectToSuccessUrl(HttpServletRequest req, HttpServletResponse resp) throws IOException {  
25.         WebUtils.redirectToSavedRequest(req, resp, successUrl);  
26.         return false;  
27.     }  
28.     private void saveRequestAndRedirectToLogin(HttpServletRequest req, HttpServletResponse resp) throws IOException {  
29.         WebUtils.saveRequest(req);  
30.         WebUtils.issueRedirect(req, resp, loginUrl);  
31.     }  
32.   
33.     private boolean login(HttpServletRequest req) {  
34.         String username = req.getParameter("username");  
35.         String password = req.getParameter("password");  
36.         try {  
37.             SecurityUtils.getSubject().login(new UsernamePasswordToken(username, password));  
38.         } catch (Exception e) {  
39.             req.setAttribute("shiroLoginFailure", e.getClass());  
40.             return false;  
41.         }  
42.         return true;  
43.     }  
44.     private boolean isLoginRequest(HttpServletRequest req) {  
45.         return pathsMatch(loginUrl, WebUtils.getPathWithinApplication(req));  
46.     }  
47. }   

Java代码  

1. [filters]  
2. formLogin=com.github.zhangkaitao.shiro.chapter8.web.filter.FormLoginFilter  
3. [urls]  
4. /test.jsp=formLogin  
5. /login.jsp=formLogin   

Java代码  

1. public class AnyRolesFilter extends AccessControlFilter {  
2.     private String unauthorizedUrl = "/unauthorized.jsp";  
3.     private String loginUrl = "/login.jsp";  
4.     protected boolean isAccessAllowed(ServletRequest request, ServletResponse response, Object mappedValue) throws Exception {  
5.         String[] roles = (String[])mappedValue;  
6.         if(roles == null) {  
7.             return true;//如果没有设置角色参数，默认成功  
8.         }  
9.         for(String role : roles) {  
10.             if(getSubject(request, response).hasRole(role)) {  
11.                 return true;  
12.             }  
13.         }  
14.         return false;//跳到onAccessDenied处理  
15.     }  
16.   
17.     @Override  
18.     protected boolean onAccessDenied(ServletRequest request, ServletResponse response) throws Exception {  
19.         Subject subject = getSubject(request, response);  
20.         if (subject.getPrincipal() == null) {//表示没有登录，重定向到登录页面  
21.             saveRequest(request);  
22.             WebUtils.issueRedirect(request, response, loginUrl);  
23.         } else {  
24.             if (StringUtils.hasText(unauthorizedUrl)) {//如果有未授权页面跳转过去  
25.                 WebUtils.issueRedirect(request, response, unauthorizedUrl);  
26.             } else {//否则返回401未授权状态码  
27.                 WebUtils.toHttp(response).sendError(HttpServletResponse.SC_UNAUTHORIZED);  
28.             }  
29.         }  
30.         return false;  
31.     }  
32. }   

Java代码  

1. [filters]  
2. anyRoles=com.github.zhangkaitao.shiro.chapter8.web.filter.AnyRolesFilter  
3. [urls]  
4. /test.jsp=formLogin,anyRoles[admin,user]  
5. /login.jsp=formLogin   

Java代码  

1. perms.unauthorizedUrl=/unauthorized  

Java代码  

1. perms.enabled=false  

Shiro提供了JSTL标签用于在JSP/GSP页面进行权限控制，如根据登录用户显示相应的页面按钮。

导入标签库

Java代码  

1. <%@taglib prefix="shiro" uri="http://shiro.apache.org/tags" %>  

标签库定义在shiro-web.jar包下的META-INF/shiro.tld中定义。

guest标签 

Java代码  

1. <shiro:guest>  
2. 欢迎游客访问，<a href="${pageContext.request.contextPath}/login.jsp">登录</a>  
3. </shiro:guest>   

用户没有身份验证时显示相应信息，即游客访问信息。

user标签 

Java代码  

1. <shiro:user>  
2. 欢迎[<shiro:principal/>]登录，<a href="${pageContext.request.contextPath}/logout">退出</a>  
3. </shiro:user>   

用户已经身份验证/记住我登录后显示相应的信息。

authenticated标签 

Java代码  

1. <shiro:authenticated>  
2.     用户[<shiro:principal/>]已身份验证通过  
3. </shiro:authenticated>   

用户已经身份验证通过，即Subject.login登录成功，不是记住我登录的。    

notAuthenticated标签

<shiro:notAuthenticated>    未身份验证（包括记住我）</shiro:notAuthenticated> 

用户已经身份验证通过，即没有调用Subject.login进行登录，包括记住我自动登录的也属于未进行身份验证。 

principal标签 

<shiro: principal/>

显示用户身份信息，默认调用Subject.getPrincipal()获取，即Primary Principal。

相当于Subject.getPrincipals().oneByType(String.class)。 

相当于Subject.getPrincipals().oneByType(String.class)。

相当于((User)Subject.getPrincipals()).getUsername()。   

hasRole标签 

如果当前Subject有角色将显示body体内容。

hasAnyRoles标签 

如果当前Subject有任意一个角色（或的关系）将显示body体内容。 

lacksRole标签 

如果当前Subject没有角色将显示body体内容。 

hasPermission标签

如果当前Subject有权限将显示body体内容。 

lacksPermission标签

如果当前Subject没有权限将显示body体内容。

另外又提供了几个权限控制相关的标签：

导入自定义标签库 

示例

hasAllRoles表示拥有所有相关的角色；hasAllPermissions表示拥有所有相关的权限；hasAnyPermissions表示拥有任意一个相关的权限。

Shiro提供了完整的企业级会话管理功能，不依赖于底层容器（如web容器tomcat），不管JavaSE还是JavaEE环境都可以使用，提供了会话管理、会话事件监听、会话存储/持久化、容器无关的集群、失效/过期支持、对Web的透明支持、SSO单点登录的支持等特性。即直接使用Shiro的会话管理可以直接替换如Web容器的会话管理。

会话

所谓会话，即用户访问应用时保持的连接关系，在多次交互中应用能够识别出当前访问的用户是谁，且可以在多次交互中保存一些数据。如访问一些网站时登录成功后，网站可以记住用户，且在退出之前都可以识别当前用户是谁。

Shiro的会话支持不仅可以在普通的JavaSE应用中使用，也可以在JavaEE应用中使用，如web应用。且使用方式是一致的。 

Java代码  

1. login("classpath:shiro.ini", "zhang", "123");  
2. Subject subject = SecurityUtils.getSubject();  
3. Session session = subject.getSession();   

登录成功后使用Subject.getSession()即可获取会话；其等价于Subject.getSession(true)，即如果当前没有创建Session对象会创建一个；另外Subject.getSession(false)，如果当前没有创建Session则返回null（不过默认情况下如果启用会话存储功能的话在创建Subject时会主动创建一个Session）。

Java代码  

1. session.getId();  

获取当前会话的唯一标识。

Java代码  

1. session.getHost();  

获取当前Subject的主机地址，该地址是通过HostAuthenticationToken.getHost()提供的。 

Java代码  

1. session.getTimeout();  
2. session.setTimeout(毫秒);   

获取/设置当前Session的过期时间；如果不设置默认是会话管理器的全局过期时间。

Java代码  

1. session.getStartTimestamp();  
2. session.getLastAccessTime();  

获取会话的启动时间及最后访问时间；如果是JavaSE应用需要自己定期调用session.touch()去更新最后访问时间；如果是Web应用，每次进入ShiroFilter都会自动调用session.touch()来更新最后访问时间。    

Java代码  

1. session.touch();  
2. session.stop();   

更新会话最后访问时间及销毁会话；当Subject.logout()时会自动调用stop方法来销毁会话。如果在web中，调用javax.servlet.http.HttpSession. invalidate()也会自动调用Shiro Session.stop方法进行销毁Shiro的会话。 

Java代码  

1. session.setAttribute("key", "123");  
2. Assert.assertEquals("123", session.getAttribute("key"));  
3. session.removeAttribute("key");  

设置/获取/删除会话属性；在整个会话范围内都可以对这些属性进行操作。 

Shiro提供的会话可以用于JavaSE/JavaEE环境，不依赖于任何底层容器，可以独立使用，是完整的会话模块。

会话管理器

会话管理器管理着应用中所有Subject的会话的创建、维护、删除、失效、验证等工作。是Shiro的核心组件，顶层组件SecurityManager直接继承了SessionManager，且提供了SessionsSecurityManager实现直接把会话管理委托给相应的SessionManager，DefaultSecurityManager及DefaultWebSecurityManager默认SecurityManager都继承了SessionsSecurityManager。

SecurityManager提供了如下接口：

Java代码  

1. Session start(SessionContext context); //启动会话  
2. Session getSession(SessionKey key) throws SessionException; //根据会话Key获取会话   

另外用于Web环境的WebSessionManager又提供了如下接口：

Java代码  

1. boolean isServletContainerSessions();//是否使用Servlet容器的会话  

Shiro还提供了ValidatingSessionManager用于验资并过期会话： 

Java代码  

1. void validateSessions();//验证所有会话是否过期  

Shiro提供了三个默认实现：

DefaultSessionManager：DefaultSecurityManager使用的默认实现，用于JavaSE环境；

ServletContainerSessionManager：DefaultWebSecurityManager使用的默认实现，用于Web环境，其直接使用Servlet容器的会话；

DefaultWebSessionManager：用于Web环境的实现，可以替代ServletContainerSessionManager，自己维护着会话，直接废弃了Servlet容器的会话管理。

替换SecurityManager默认的SessionManager可以在ini中配置（shiro.ini）：

Java代码  

1. [main]  
2. sessionManager=org.apache.shiro.session.mgt.DefaultSessionManager  
3. securityManager.sessionManager=$sessionManager   

Web环境下的ini配置(shiro-web.ini)：

<!--EndFragment-->

Java代码  

1. [main]  
2. sessionManager=org.apache.shiro.web.session.mgt.ServletContainerSessionManager  
3. securityManager.sessionManager=$sessionManager  

另外可以设置会话的全局过期时间（毫秒为单位），默认30分钟：

Java代码  

1. sessionManager. globalSessionTimeout=1800000   

默认情况下globalSessionTimeout将应用给所有Session。可以单独设置每个Session的timeout属性来为每个Session设置其超时时间。

另外如果使用ServletContainerSessionManager进行会话管理，Session的超时依赖于底层Servlet容器的超时时间，可以在web.xml中配置其会话的超时时间（分钟为单位）： 

Java代码  

1. <session-config>  
2.   <session-timeout>30</session-timeout>  
3. </session-config>  

在Servlet容器中，默认使用JSESSIONID Cookie维护会话，且会话默认是跟容器绑定的；在某些情况下可能需要使用自己的会话机制，此时我们可以使用DefaultWebSessionManager来维护会话：

Java代码  

1. sessionIdCookie=org.apache.shiro.web.servlet.SimpleCookie  
2. sessionManager=org.apache.shiro.web.session.mgt.DefaultWebSessionManager  
3. sessionIdCookie.name=sid  
4. #sessionIdCookie.domain=sishuok.com  
5. #sessionIdCookie.path=  
6. sessionIdCookie.maxAge=1800  
7. sessionIdCookie.httpOnly=true  
8. sessionManager.sessionIdCookie=$sessionIdCookie  
9. sessionManager.sessionIdCookieEnabled=true  
10. securityManager.sessionManager=$sessionManager   

sessionIdCookie是sessionManager创建会话Cookie的模板：

sessionIdCookie.name：设置Cookie名字，默认为JSESSIONID；

sessionIdCookie.domain：设置Cookie的域名，默认空，即当前访问的域名；

sessionIdCookie.path：设置Cookie的路径，默认空，即存储在域名根下；

sessionIdCookie.maxAge：设置Cookie的过期时间，秒为单位，默认-1表示关闭浏览器时过期Cookie；

sessionIdCookie.httpOnly：如果设置为true，则客户端不会暴露给客户端脚本代码，使用HttpOnly cookie有助于减少某些类型的跨站点脚本攻击；此特性需要实现了Servlet 2.5 MR6及以上版本的规范的Servlet容器支持；

sessionManager.sessionIdCookieEnabled：是否启用/禁用Session Id Cookie，默认是启用的；如果禁用后将不会设置Session Id Cookie，即默认使用了Servlet容器的JSESSIONID，且通过URL重写（URL中的“;JSESSIONID=id”部分）保存Session Id。

另外我们可以如“sessionManager. sessionIdCookie.name=sid”这种方式操作Cookie模板。

会话监听器

会话监听器用于监听会话创建、过期及停止事件： 

Java代码  

1. public class MySessionListener1 implements SessionListener {  
2.     @Override  
3.     public void onStart(Session session) {//会话创建时触发  
4.         System.out.println("会话创建：" + session.getId());  
5.     }  
6.     @Override  
7.     public void onExpiration(Session session) {//会话过期时触发  
8.         System.out.println("会话过期：" + session.getId());  
9.     }  
10.     @Override  
11.     public void onStop(Session session) {//退出/会话过期时触发  
12.         System.out.println("会话停止：" + session.getId());  
13.     }    
14. }  

如果只想监听某一个事件，可以继承SessionListenerAdapter实现：

Java代码  

1. public class MySessionListener2 extends SessionListenerAdapter {  
2.     @Override  
3.     public void onStart(Session session) {  
4.         System.out.println("会话创建：" + session.getId());  
5.     }  
6. }  

在shiro-web.ini配置文件中可以进行如下配置设置会话监听器：

Java代码  

1. sessionListener1=com.github.zhangkaitao.shiro.chapter10.web.listener.MySessionListener1  
2. sessionListener2=com.github.zhangkaitao.shiro.chapter10.web.listener.MySessionListener2  
3. sessionManager.sessionListeners=$sessionListener1,$sessionListener2  

会话存储/持久化 

Shiro提供SessionDAO用于会话的CRUD，即DAO（Data Access Object）模式实现：

Java代码  

1. //如DefaultSessionManager在创建完session后会调用该方法；如保存到关系数据库/文件系统/NoSQL数据库；即可以实现会话的持久化；返回会话ID；主要此处返回的ID.equals(session.getId())；  
2. Serializable create(Session session);  
3. //根据会话ID获取会话  
4. Session readSession(Serializable sessionId) throws UnknownSessionException;  
5. //更新会话；如更新会话最后访问时间/停止会话/设置超时时间/设置移除属性等会调用  
6. void update(Session session) throws UnknownSessionException;  
7. //删除会话；当会话过期/会话停止（如用户退出时）会调用  
8. void delete(Session session);  
9. //获取当前所有活跃用户，如果用户量多此方法影响性能  
10. Collection<Session> getActiveSessions();   

Shiro内嵌了如下SessionDAO实现：

AbstractSessionDAO提供了SessionDAO的基础实现，如生成会话ID等；CachingSessionDAO提供了对开发者透明的会话缓存的功能，只需要设置相应的CacheManager即可；MemorySessionDAO直接在内存中进行会话维护；而EnterpriseCacheSessionDAO提供了缓存功能的会话维护，默认情况下使用MapCache实现，内部使用ConcurrentHashMap保存缓存的会话。

可以通过如下配置设置SessionDAO：

Java代码  

1. sessionDAO=org.apache.shiro.session.mgt.eis.EnterpriseCacheSessionDAO  
2. sessionManager.sessionDAO=$sessionDAO   

Shiro提供了使用Ehcache进行会话存储，Ehcache可以配合TerraCotta实现容器无关的分布式集群。

首先在pom.xml里添加如下依赖：

Java代码  

1. <dependency>  
2.     <groupId>org.apache.shiro</groupId>  
3.     <artifactId>shiro-ehcache</artifactId>  
4.     <version>1.2.2</version>  
5. </dependency>   

接着配置shiro-web.ini文件：    

Java代码  

1. sessionDAO=org.apache.shiro.session.mgt.eis.EnterpriseCacheSessionDAO  
2. sessionDAO. activeSessionsCacheName=shiro-activeSessionCache  
3. sessionManager.sessionDAO=$sessionDAO  
4. cacheManager = org.apache.shiro.cache.ehcache.EhCacheManager  
5. cacheManager.cacheManagerConfigFile=classpath:ehcache.xml  
6. securityManager.cacheManager = $cacheManager   

sessionDAO. activeSessionsCacheName：设置Session缓存名字，默认就是shiro-activeSessionCache；

cacheManager：缓存管理器，用于管理缓存的，此处使用Ehcache实现；

cacheManager.cacheManagerConfigFile：设置ehcache缓存的配置文件；

securityManager.cacheManager：设置SecurityManager的cacheManager，会自动设置实现了CacheManagerAware接口的相应对象，如SessionDAO的cacheManager；

然后配置ehcache.xml：

Java代码  

1. <cache name="shiro-activeSessionCache"  
2.        maxEntriesLocalHeap="10000"  
3.        overflowToDisk="false"  
4.        eternal="false"  
5.        diskPersistent="false"  
6.        timeToLiveSeconds="0"  
7.        timeToIdleSeconds="0"  
8.        statistics="true"/>   

Cache的名字为shiro-activeSessionCache，即设置的sessionDAO的activeSessionsCacheName属性值。

另外可以通过如下ini配置设置会话ID生成器：

Java代码  

1. sessionIdGenerator=org.apache.shiro.session.mgt.eis.JavaUuidSessionIdGenerator  
2. sessionDAO.sessionIdGenerator=$sessionIdGenerator   

用于生成会话ID，默认就是JavaUuidSessionIdGenerator，使用java.util.UUID生成。

如果自定义实现SessionDAO，继承CachingSessionDAO即可：

Java代码  

1. public class MySessionDAO extends CachingSessionDAO {  
2.     private JdbcTemplate jdbcTemplate = JdbcTemplateUtils.jdbcTemplate();  
3.      protected Serializable doCreate(Session session) {  
4.         Serializable sessionId = generateSessionId(session);  
5.         assignSessionId(session, sessionId);  
6.         String sql = "insert into sessions(id, session) values(?,?)";  
7.         jdbcTemplate.update(sql, sessionId, SerializableUtils.serialize(session));  
8.         return session.getId();  
9.     }  
10. protected void doUpdate(Session session) {  
11.     if(session instanceof ValidatingSession && !((ValidatingSession)session).isValid()) {  
12.         return; //如果会话过期/停止 没必要再更新了  
13.     }  
14.         String sql = "update sessions set session=? where id=?";  
15.         jdbcTemplate.update(sql, SerializableUtils.serialize(session), session.getId());  
16.     }  
17.     protected void doDelete(Session session) {  
18.         String sql = "delete from sessions where id=?";  
19.         jdbcTemplate.update(sql, session.getId());  
20.     }  
21.     protected Session doReadSession(Serializable sessionId) {  
22.         String sql = "select session from sessions where id=?";  
23.         List<String> sessionStrList = jdbcTemplate.queryForList(sql, String.class, sessionId);  
24.         if(sessionStrList.size() == 0) return null;  
25.         return SerializableUtils.deserialize(sessionStrList.get(0));  
26.     }  
27. }   

doCreate/doUpdate/doDelete/doReadSession分别代表创建/修改/删除/读取会话；此处通过把会话序列化后存储到数据库实现；接着在shiro-web.ini中配置：

Java代码  

1. sessionDAO=com.github.zhangkaitao.shiro.chapter10.session.dao.MySessionDAO  

其他设置和之前一样，因为继承了CachingSessionDAO；所有在读取时会先查缓存中是否存在，如果找不到才到数据库中查找。

会话验证

Shiro提供了会话验证调度器，用于定期的验证会话是否已过期，如果过期将停止会话；出于性能考虑，一般情况下都是获取会话时来验证会话是否过期并停止会话的；但是如在web环境中，如果用户不主动退出是不知道会话是否过期的，因此需要定期的检测会话是否过期，Shiro提供了会话验证调度器SessionValidationScheduler来做这件事情。

可以通过如下ini配置开启会话验证：    

Java代码  

1. sessionValidationScheduler=org.apache.shiro.session.mgt.ExecutorServiceSessionValidationScheduler  
2. sessionValidationScheduler.interval = 3600000  
3. sessionValidationScheduler.sessionManager=$sessionManager  
4. sessionManager.globalSessionTimeout=1800000  
5. sessionManager.sessionValidationSchedulerEnabled=true  
6. sessionManager.sessionValidationScheduler=$sessionValidationScheduler   

sessionValidationScheduler：会话验证调度器，sessionManager默认就是使用ExecutorServiceSessionValidationScheduler，其使用JDK的ScheduledExecutorService进行定期调度并验证会话是否过期；

sessionValidationScheduler.interval：设置调度时间间隔，单位毫秒，默认就是1小时；

sessionValidationScheduler.sessionManager：设置会话验证调度器进行会话验证时的会话管理器；

sessionManager.globalSessionTimeout：设置全局会话超时时间，默认30分钟，即如果30分钟内没有访问会话将过期；

sessionManager.sessionValidationSchedulerEnabled：是否开启会话验证器，默认是开启的；

sessionManager.sessionValidationScheduler：设置会话验证调度器，默认就是使用ExecutorServiceSessionValidationScheduler。

Shiro也提供了使用Quartz会话验证调度器：

Java代码  

1. sessionValidationScheduler=org.apache.shiro.session.mgt.quartz.QuartzSessionValidationScheduler  
2. sessionValidationScheduler.sessionValidationInterval = 3600000  
3. sessionValidationScheduler.sessionManager=$sessionManager   

使用时需要导入shiro-quartz依赖：

Java代码  

1. <dependency>  
2.      <groupId>org.apache.shiro</groupId>  
3.      <artifactId>shiro-quartz</artifactId>  
4.      <version>1.2.2</version>  
5. </dependency>  

如上会话验证调度器实现都是直接调用AbstractValidatingSessionManager 的validateSessions方法进行验证，其直接调用SessionDAO的getActiveSessions方法获取所有会话进行验证，如果会话比较多，会影响性能；可以考虑如分页获取会话并进行验证，如com.github.zhangkaitao.shiro.chapter10.session.scheduler.MySessionValidationScheduler：

Java代码  

1. //分页获取会话并验证  
2. String sql = "select session from sessions limit ?,?";  
3. int start = 0; //起始记录  
4. int size = 20; //每页大小  
5. List<String> sessionList = jdbcTemplate.queryForList(sql, String.class, start, size);  
6. while(sessionList.size() > 0) {  
7.   for(String sessionStr : sessionList) {  
8.     try {  
9.       Session session = SerializableUtils.deserialize(sessionStr);  
10.       Method validateMethod =   
11.         ReflectionUtils.findMethod(AbstractValidatingSessionManager.class,   
12.             "validate", Session.class, SessionKey.class);  
13.       validateMethod.setAccessible(true);  
14.       ReflectionUtils.invokeMethod(validateMethod,   
15.         sessionManager, session, new DefaultSessionKey(session.getId()));  
16.     } catch (Exception e) {  
17.         //ignore  
18.     }  
19.   }  
20.  start = start + size;  
21.   sessionList = jdbcTemplate.queryForList(sql, String.class, start, size);  
22. }   

其直接改造自ExecutorServiceSessionValidationScheduler，如上代码是验证的核心代码，可以根据自己的需求改造此验证调度器器；ini的配置和之前的类似。

如果在会话过期时不想删除过期的会话，可以通过如下ini配置进行设置：

Java代码  

1. sessionManager.deleteInvalidSessions=false  

默认是开启的，在会话过期后会调用SessionDAO的delete方法删除会话：如会话时持久化存储的，可以调用此方法进行删除。

如果是在获取会话时验证了会话已过期，将抛出InvalidSessionException；因此需要捕获这个异常并跳转到相应的页面告诉用户会话已过期，让其重新登录，如可以在web.xml配置相应的错误页面：

Java代码  

1. <error-page>  
2.     <exception-type>org.apache.shiro.session.InvalidSessionException</exception-type>  
3.     <location>/invalidSession.jsp</location>  
4. </error-page>  

sessionFactory

sessionFactory是创建会话的工厂，根据相应的Subject上下文信息来创建会话；默认提供了SimpleSessionFactory用来创建SimpleSession会话。

首先自定义一个Session：

Java代码  

1. public class OnlineSession extends SimpleSession {  
2.     public static enum OnlineStatus {  
3.         on_line("在线"), hidden("隐身"), force_logout("强制退出");  
4.         private final String info;  
5.         private OnlineStatus(String info) {  
6.             this.info = info;  
7.         }  
8.         public String getInfo() {  
9.             return info;  
10.         }  
11.     }  
12.     private String userAgent; //用户浏览器类型  
13.     private OnlineStatus status = OnlineStatus.on_line; //在线状态  
14.     private String systemHost; //用户登录时系统IP  
15.     //省略其他  
16. }   

OnlineSession用于保存当前登录用户的在线状态，支持如离线等状态的控制。

接着自定义SessionFactory：

Java代码  

1. public class OnlineSessionFactory implements SessionFactory {  
2.   
3.     @Override  
4.     public Session createSession(SessionContext initData) {  
5.         OnlineSession session = new OnlineSession();  
6.         if (initData != null && initData instanceof WebSessionContext) {  
7.             WebSessionContext sessionContext = (WebSessionContext) initData;  
8.             HttpServletRequest request = (HttpServletRequest) sessionContext.getServletRequest();  
9.             if (request != null) {  
10.                 session.setHost(IpUtils.getIpAddr(request));  
11.                 session.setUserAgent(request.getHeader("User-Agent"));  
12.                 session.setSystemHost(request.getLocalAddr() + ":" + request.getLocalPort());  
13.             }  
14.         }  
15.         return session;  
16.     }  
17. }   

根据会话上下文创建相应的OnlineSession。

最后在shiro-web.ini配置文件中配置：

Java代码  

1. sessionFactory=org.apache.shiro.session.mgt.OnlineSessionFactory  
2. sessionManager.sessionFactory=$sessionFactory  

Shiro提供了类似于Spring的Cache抽象，即Shiro本身不实现Cache，但是对Cache进行了又抽象，方便更换不同的底层Cache实现。对于Cache的一些概念可以参考我的《Spring Cache抽象详解》：http://jinnianshilongnian.iteye.com/blog/2001040。

Shiro提供的Cache接口： 

Java代码  

1. public interface Cache<K, V> {  
2.     //根据Key获取缓存中的值  
3.     public V get(K key) throws CacheException;  
4.     //往缓存中放入key-value，返回缓存中之前的值  
5.     public V put(K key, V value) throws CacheException;   
6.     //移除缓存中key对应的值，返回该值  
7.     public V remove(K key) throws CacheException;  
8.     //清空整个缓存  
9.     public void clear() throws CacheException;  
10.     //返回缓存大小  
11.     public int size();  
12.     //获取缓存中所有的key  
13.     public Set<K> keys();  
14.     //获取缓存中所有的value  
15.     public Collection<V> values();  
16. }  

Shiro提供的CacheManager接口： 

Java代码  

1. public interface CacheManager {  
2.     //根据缓存名字获取一个Cache  
3.     public <K, V> Cache<K, V> getCache(String name) throws CacheException;  
4. }  

Shiro还提供了CacheManagerAware用于注入CacheManager： 

Java代码  

1. public interface CacheManagerAware {  
2.     //注入CacheManager  
3.     void setCacheManager(CacheManager cacheManager);  
4. }  

Shiro内部相应的组件（DefaultSecurityManager）会自动检测相应的对象（如Realm）是否实现了CacheManagerAware并自动注入相应的CacheManager。

本章用例使用了与第六章的代码。

Realm缓存

Shiro提供了CachingRealm，其实现了CacheManagerAware接口，提供了缓存的一些基础实现；另外AuthenticatingRealm及AuthorizingRealm分别提供了对AuthenticationInfo 和AuthorizationInfo信息的缓存。

ini配置   

Java代码  

1. userRealm=com.github.zhangkaitao.shiro.chapter11.realm.UserRealm  
2. userRealm.credentialsMatcher=$credentialsMatcher  
3. userRealm.cachingEnabled=true  
4. userRealm.authenticationCachingEnabled=true  
5. userRealm.authenticationCacheName=authenticationCache  
6. userRealm.authorizationCachingEnabled=true  
7. userRealm.authorizationCacheName=authorizationCache  
8. securityManager.realms=$userRealm  
9.   
10. cacheManager=org.apache.shiro.cache.ehcache.EhCacheManager  
11. cacheManager.cacheManagerConfigFile=classpath:shiro-ehcache.xml  
12. securityManager.cacheManager=$cacheManager   

userRealm.cachingEnabled：启用缓存，默认false；

userRealm.authenticationCachingEnabled：启用身份验证缓存，即缓存AuthenticationInfo信息，默认false；

userRealm.authenticationCacheName：缓存AuthenticationInfo信息的缓存名称；

userRealm. authorizationCachingEnabled：启用授权缓存，即缓存AuthorizationInfo信息，默认false；

userRealm. authorizationCacheName：缓存AuthorizationInfo信息的缓存名称；

cacheManager：缓存管理器，此处使用EhCacheManager，即Ehcache实现，需要导入相应的Ehcache依赖，请参考pom.xml；

因为测试用例的关系，需要将Ehcache的CacheManager改为使用VM单例模式：

this.manager = new net.sf.ehcache.CacheManager(getCacheManagerConfigFileInputStream());

改为

this.manager = net.sf.ehcache.CacheManager.create(getCacheManagerConfigFileInputStream());

测试用例 

Java代码  

1. @Test  
2. public void testClearCachedAuthenticationInfo() {  
3.     login(u1.getUsername(), password);  
4.     userService.changePassword(u1.getId(), password + "1");  
5.   
6.     RealmSecurityManager securityManager =  
7.      (RealmSecurityManager) SecurityUtils.getSecurityManager();  
8.     UserRealm userRealm = (UserRealm) securityManager.getRealms().iterator().next();  
9.     userRealm.clearCachedAuthenticationInfo(subject().getPrincipals());  
10.   
11.     login(u1.getUsername(), password + "1");  
12. }   

首先登录成功（此时会缓存相应的AuthenticationInfo），然后修改密码；此时密码就变了；接着需要调用Realm的clearCachedAuthenticationInfo方法清空之前缓存的AuthenticationInfo；否则下次登录时还会获取到修改密码之前的那个AuthenticationInfo；

Java代码  

1. @Test  
2. public void testClearCachedAuthorizationInfo() {  
3.     login(u1.getUsername(), password);  
4.     subject().checkRole(r1.getRole());  
5.     userService.correlationRoles(u1.getId(), r2.getId());  
6.   
7.     RealmSecurityManager securityManager =  
8.       (RealmSecurityManager) SecurityUtils.getSecurityManager();  
9.     UserRealm userRealm = (UserRealm)securityManager.getRealms().iterator().next();  
10.     userRealm.clearCachedAuthorizationInfo(subject().getPrincipals());  
11.   
12.     subject().checkRole(r2.getRole());  
13. }   

和之前的用例差不多；此处调用Realm的clearCachedAuthorizationInfo清空之前缓存的AuthorizationInfo；

另外还有clearCache，其同时调用clearCachedAuthenticationInfo和clearCachedAuthorizationInfo，清空AuthenticationInfo和AuthorizationInfo。

UserRealm还提供了clearAllCachedAuthorizationInfo、clearAllCachedAuthenticationInfo、clearAllCache，用于清空整个缓存。

在某些清空下这种方式可能不是最好的选择，可以考虑直接废弃Shiro的缓存，然后自己通过如AOP机制实现自己的缓存；可以参考：

https://github.com/zhangkaitao/es/tree/master/web/src/main/java/com/sishuok/es/extra/aop

另外如果和Spring集成时可以考虑直接使用Spring的Cache抽象，可以考虑使用SpringCacheManagerWrapper，其对Spring Cache进行了包装，转换为Shiro的CacheManager实现：

https://github.com/zhangkaitao/es/blob/master/web/src/main/java/org/apache/shiro/cache/spring/SpringCacheManagerWrapper.java 

Session缓存

当我们设置了SecurityManager的CacheManager时，如：

Java代码  

1. securityManager.cacheManager=$cacheManager  

当我们设置SessionManager时：

Java代码  

1. sessionManager=org.apache.shiro.session.mgt.DefaultSessionManager  
2. securityManager.sessionManager=$sessionManager   

如securityManager实现了SessionsSecurityManager，其会自动判断SessionManager是否实现了CacheManagerAware接口，如果实现了会把CacheManager设置给它。然后sessionManager会判断相应的sessionDAO（如继承自CachingSessionDAO）是否实现了CacheManagerAware，如果实现了会把CacheManager设置给它；如第九章的MySessionDAO就是带缓存的SessionDAO；其会先查缓存，如果找不到才查数据库。

对于CachingSessionDAO，可以通过如下配置设置缓存的名称：

Java代码  

1. sessionDAO=com.github.zhangkaitao.shiro.chapter11.session.dao.MySessionDAO  
2. sessionDAO.activeSessionsCacheName=shiro-activeSessionCache   

activeSessionsCacheName默认就是shiro-activeSessionCache。

12.1 与spring 集成

Shiro的组件都是JavaBean/POJO式的组件，所以非常容易使用Spring进行组件管理，可以非常方便的从ini配置迁移到Spring进行管理，且支持JavaSE应用及Web应用的集成。

在示例之前，需要导入shiro-spring及spring-context依赖，具体请参考pom.xml。

spring-beans.xml配置文件提供了基础组件如DataSource、DAO、Service组件的配置。

JavaSE应用

spring-shiro.xml提供了普通JavaSE独立应用的Spring配置：

Java代码  

1. <!-- 缓存管理器 使用Ehcache实现 -->  
2. <bean id="cacheManager" class="org.apache.shiro.cache.ehcache.EhCacheManager">  
3.     <property name="cacheManagerConfigFile" value="classpath:ehcache.xml"/>  
4. </bean>  
5.   
6. <!-- 凭证匹配器 -->  
7. <bean id="credentialsMatcher" class="  
8. com.github.zhangkaitao.shiro.chapter12.credentials.RetryLimitHashedCredentialsMatcher">  
9.     <constructor-arg ref="cacheManager"/>  
10.     <property name="hashAlgorithmName" value="md5"/>  
11.     <property name="hashIterations" value="2"/>  
12.     <property name="storedCredentialsHexEncoded" value="true"/>  
13. </bean>  
14.   
15. <!-- Realm实现 -->  
16. <bean id="userRealm" class="com.github.zhangkaitao.shiro.chapter12.realm.UserRealm">  
17.     <property name="userService" ref="userService"/>  
18.     <property name="credentialsMatcher" ref="credentialsMatcher"/>  
19.     <property name="cachingEnabled" value="true"/>  
20.     <property name="authenticationCachingEnabled" value="true"/>  
21.     <property name="authenticationCacheName" value="authenticationCache"/>  
22.     <property name="authorizationCachingEnabled" value="true"/>  
23.     <property name="authorizationCacheName" value="authorizationCache"/>  
24. </bean>  
25. <!-- 会话ID生成器 -->  
26. <bean id="sessionIdGenerator"   
27. class="org.apache.shiro.session.mgt.eis.JavaUuidSessionIdGenerator"/>  
28. <!-- 会话DAO -->  
29. <bean id="sessionDAO"   
30. class="org.apache.shiro.session.mgt.eis.EnterpriseCacheSessionDAO">  
31.     <property name="activeSessionsCacheName" value="shiro-activeSessionCache"/>  
32.     <property name="sessionIdGenerator" ref="sessionIdGenerator"/>  
33. </bean>  
34. <!-- 会话验证调度器 -->  
35. <bean id="sessionValidationScheduler"   
36. class="org.apache.shiro.session.mgt.quartz.QuartzSessionValidationScheduler">  
37.     <property name="sessionValidationInterval" value="1800000"/>  
38.     <property name="sessionManager" ref="sessionManager"/>  
39. </bean>  
40. <!-- 会话管理器 -->  
41. <bean id="sessionManager" class="org.apache.shiro.session.mgt.DefaultSessionManager">  
42.     <property name="globalSessionTimeout" value="1800000"/>  
43.     <property name="deleteInvalidSessions" value="true"/>  
44.     <property name="sessionValidationSchedulerEnabled" value="true"/>  
45.    <property name="sessionValidationScheduler" ref="sessionValidationScheduler"/>  
46.     <property name="sessionDAO" ref="sessionDAO"/>  
47. </bean>  
48. <!-- 安全管理器 -->  
49. <bean id="securityManager" class="org.apache.shiro.mgt.DefaultSecurityManager">  
50.     <property name="realms">  
51.         <list><ref bean="userRealm"/></list>  
52.     </property>  
53.     <property name="sessionManager" ref="sessionManager"/>  
54.     <property name="cacheManager" ref="cacheManager"/>  
55. </bean>  
56. <!-- 相当于调用SecurityUtils.setSecurityManager(securityManager) -->  
57. <bean class="org.springframework.beans.factory.config.MethodInvokingFactoryBean">  
58. <property name="staticMethod"   
59. value="org.apache.shiro.SecurityUtils.setSecurityManager"/>  
60.     <property name="arguments" ref="securityManager"/>  
61. </bean>  
62. <!-- Shiro生命周期处理器-->  
63. <bean id="lifecycleBeanPostProcessor"   
64. class="org.apache.shiro.spring.LifecycleBeanPostProcessor"/>  

可以看出，只要把之前的ini配置翻译为此处的spring xml配置方式即可，无须多解释。LifecycleBeanPostProcessor用于在实现了Initializable接口的Shiro bean初始化时调用Initializable接口回调，在实现了Destroyable接口的Shiro bean销毁时调用 Destroyable接口回调。如UserRealm就实现了Initializable，而DefaultSecurityManager实现了Destroyable。具体可以查看它们的继承关系。

测试用例请参考com.github.zhangkaitao.shiro.chapter12.ShiroTest。 

Web应用

Web应用和普通JavaSE应用的某些配置是类似的，此处只提供一些不一样的配置，详细配置可以参考spring-shiro-web.xml。 

Java代码  

1. <!-- 会话Cookie模板 -->  
2. <bean id="sessionIdCookie" class="org.apache.shiro.web.servlet.SimpleCookie">  
3.     <constructor-arg value="sid"/>  
4.     <property name="httpOnly" value="true"/>  
5.     <property name="maxAge" value="180000"/>  
6. </bean>  
7. <!-- 会话管理器 -->  
8. <bean id="sessionManager"   
9. class="org.apache.shiro.web.session.mgt.DefaultWebSessionManager">  
10.     <property name="globalSessionTimeout" value="1800000"/>  
11.     <property name="deleteInvalidSessions" value="true"/>  
12.     <property name="sessionValidationSchedulerEnabled" value="true"/>  
13.     <property name="sessionValidationScheduler" ref="sessionValidationScheduler"/>  
14.     <property name="sessionDAO" ref="sessionDAO"/>  
15.     <property name="sessionIdCookieEnabled" value="true"/>  
16.     <property name="sessionIdCookie" ref="sessionIdCookie"/>  
17. </bean>  
18. <!-- 安全管理器 -->  
19. <bean id="securityManager" class="org.apache.shiro.web.mgt.DefaultWebSecurityManager">  
20. <property name="realm" ref="userRealm"/>  
21.     <property name="sessionManager" ref="sessionManager"/>  
22.     <property name="cacheManager" ref="cacheManager"/>  
23. </bean>   

1、sessionIdCookie是用于生产Session ID Cookie的模板；

2、会话管理器使用用于web环境的DefaultWebSessionManager；

3、安全管理器使用用于web环境的DefaultWebSecurityManager。 

Java代码  

1. <!-- 基于Form表单的身份验证过滤器 -->  
2. <bean id="formAuthenticationFilter"   
3. class="org.apache.shiro.web.filter.authc.FormAuthenticationFilter">  
4.     <property name="usernameParam" value="username"/>  
5.     <property name="passwordParam" value="password"/>  
6.     <property name="loginUrl" value="/login.jsp"/>  
7. </bean>  
8. <!-- Shiro的Web过滤器 -->  
9. <bean id="shiroFilter" class="org.apache.shiro.spring.web.ShiroFilterFactoryBean">  
10.     <property name="securityManager" ref="securityManager"/>  
11.     <property name="loginUrl" value="/login.jsp"/>  
12.     <property name="unauthorizedUrl" value="/unauthorized.jsp"/>  
13.     <property name="filters">  
14.         <util:map>  
15.             <entry key="authc" value-ref="formAuthenticationFilter"/>  
16.         </util:map>  
17.     </property>  
18.     <property name="filterChainDefinitions">  
19.         <value>  
20.             /index.jsp = anon  
21.             /unauthorized.jsp = anon  
22.             /login.jsp = authc  
23.             /logout = logout  
24.             /** = user  
25.         </value>  
26.     </property>  
27. </bean>   

1、formAuthenticationFilter为基于Form表单的身份验证过滤器；此处可以再添加自己的Filter bean定义；

2、shiroFilter：此处使用ShiroFilterFactoryBean来创建ShiroFilter过滤器；filters属性用于定义自己的过滤器，即ini配置中的[filters]部分；filterChainDefinitions用于声明url和filter的关系，即ini配置中的[urls]部分。

接着需要在web.xml中进行如下配置： 

Java代码  

1. <context-param>  
2.     <param-name>contextConfigLocation</param-name>  
3.     <param-value>  
4.         classpath:spring-beans.xml,  
5.         classpath:spring-shiro-web.xml  
6.     </param-value>  
7. </context-param>  
8. <listener>  
9.    <listener-class>  
10. org.springframework.web.context.ContextLoaderListener  
11. </listener-class>  
12. </listener>   

通过ContextLoaderListener加载contextConfigLocation指定的Spring配置文件。

Java代码  

1. <filter>  
2.     <filter-name>shiroFilter</filter-name>  
3.     <filter-class>org.springframework.web.filter.DelegatingFilterProxy</filter-class>  
4.     <init-param>  
5.         <param-name>targetFilterLifecycle</param-name>  
6.         <param-value>true</param-value>  
7.     </init-param>  
8. </filter>  
9. <filter-mapping>  
10.     <filter-name>shiroFilter</filter-name>  
11.     <url-pattern>/*</url-pattern>  
12. </filter-mapping>   

DelegatingFilterProxy会自动到Spring容器中查找名字为shiroFilter的bean并把filter请求交给它处理。

其他配置请参考源代码。

Shiro权限注解

Shiro提供了相应的注解用于权限控制，如果使用这些注解就需要使用AOP的功能来进行判断，如Spring AOP；Shiro提供了Spring AOP集成用于权限注解的解析和验证。

为了测试，此处使用了Spring MVC来测试Shiro注解，当然Shiro注解不仅仅可以在web环境使用，在独立的JavaSE中也是可以用的，此处只是以web为例了。

在spring-mvc.xml配置文件添加Shiro Spring AOP权限注解的支持： 

Java代码  

1. <aop:config proxy-target-class="true"></aop:config>  
2. <bean class="  
3. org.apache.shiro.spring.security.interceptor.AuthorizationAttributeSourceAdvisor">  
4.     <property name="securityManager" ref="securityManager"/>  
5. </bean>   

如上配置用于开启Shiro Spring AOP权限注解的支持；<aop:config proxy-target-class="true">表示代理类。

接着就可以在相应的控制器（AnnotationController）中使用如下方式进行注解： 

Java代码  

1. @RequiresRoles("admin")  
2. @RequestMapping("/hello2")  
3. public String hello2() {  
4.     return "success";  
5. }   

访问hello2方法的前提是当前用户有admin角色。

当验证失败，其会抛出UnauthorizedException异常，此时可以使用Spring的ExceptionHandler（DefaultExceptionHandler）来进行拦截处理：

Java代码  

1. @ExceptionHandler({UnauthorizedException.class})  
2. @ResponseStatus(HttpStatus.UNAUTHORIZED)  
3. public ModelAndView processUnauthenticatedException(NativeWebRequest request, UnauthorizedException e) {  
4.     ModelAndView mv = new ModelAndView();  
5.     mv.addObject("exception", e);  
6.     mv.setViewName("unauthorized");  
7.     return mv;  
8. }   

如果集成Struts2，需要注意《Shiro+Struts2+Spring3 加上@RequiresPermissions 后@Autowired失效》问题：

http://jinnianshilongnian.iteye.com/blog/1850425

权限注解      

Java代码  

1. @RequiresAuthentication  

表示当前Subject已经通过login进行了身份验证；即Subject. isAuthenticated()返回true。 

Java代码  

1. @RequiresUser  

表示当前Subject已经身份验证或者通过记住我登录的。

Java代码  

1. @RequiresGuest  

表示当前Subject没有身份验证或通过记住我登录过，即是游客身份。  

Java代码  

1. @RequiresRoles(value={“admin”, “user”}, logical= Logical.AND)  

表示当前Subject需要角色admin和user。

Java代码  

1. @RequiresPermissions (value={“user:a”, “user:b”}, logical= Logical.OR)  

表示当前Subject需要权限user:a或user:b。  

Java代码  

1. <!-- 会话Cookie模板 -->  
2. <bean id="sessionIdCookie" class="org.apache.shiro.web.servlet.SimpleCookie">  
3.     <constructor-arg value="sid"/>  
4.     <property name="httpOnly" value="true"/>  
5.     <property name="maxAge" value="-1"/>  
6. </bean>  
7. <bean id="rememberMeCookie" class="org.apache.shiro.web.servlet.SimpleCookie">  
8.     <constructor-arg value="rememberMe"/>  
9.     <property name="httpOnly" value="true"/>  
10.     <property name="maxAge" value="2592000"/><!-- 30天 -->  
11. </bean>   

Java代码  

1. <!-- rememberMe管理器 -->  
2. <bean id="rememberMeManager"   
3. class="org.apache.shiro.web.mgt.CookieRememberMeManager">  
4.     <property name="cipherKey" value="  
5. #{T(org.apache.shiro.codec.Base64).decode('4AvVhmFLUs0KTA3Kprsdag==')}"/>  
6.      <property name="cookie" ref="rememberMeCookie"/>  
7. </bean>   

Java代码  

1. <!-- 安全管理器 -->  
2. <bean id="securityManager" class="org.apache.shiro.web.mgt.DefaultWebSecurityManager">  
3. ……  
4.     <property name="rememberMeManager" ref="rememberMeManager"/>  
5. </bean>   

Java代码  

1. <bean id="formAuthenticationFilter"   
2. class="org.apache.shiro.web.filter.authc.FormAuthenticationFilter">  
3.     ……  
4.     <property name="rememberMeParam" value="rememberMe"/>  
5. </bean>   

Java代码  

1. <bean id="shiroFilter" class="org.apache.shiro.spring.web.ShiroFilterFactoryBean">  
2.     ……  
3.     <property name="filterChainDefinitions">  
4.         <value>  
5.             /login.jsp = authc  
6.             /logout = logout  
7.             /authenticated.jsp = authc  
8.             /** = user  
9.         </value>  
10.     </property>  
11. </bean>   

Java代码  

1. Subject subject = SecurityUtils.getSubject();  
2. UsernamePasswordToken token = new UsernamePasswordToken(username, password);  
3. token.setRememberMe(true);  
4. subject.login(token);