基于shiro+redis缓存的session共享方案
当一个使用shiro开发的项目被定位为单机部署，不需要集群部署时，我们可以不考虑shiro redis集群；然而很多大型项目是需要集群部署的，以应对高并发访问量。
由 redis负责 session 数据的存储和授权信息cache共享，而我们自己实现的 session manager 将负责 session 生命周期的管理。结构示例如下图
特征：
- 可以使用redis管理shiro session
- 解决集群中session同步的问题
- 解决集群中缓存应用的问题
- 多个不同子域名很容易实现统一登陆
此方案的不足之处：
- 不同的域名（非子域名）做session共享，只能通过单点登录。
- redis单点故障，可能需要集群式部署
·项目配置几处关键点：
·web.xml主要配置示例
·
·
·
·shiroFilter
·
·org.springframework.web.filter.DelegatingFilterProxy
·
·targetFilterLifecycle
·true
·
·
·
·shiroFilter
·/*
·REQUEST
·FORWARD
·INCLUDE
·ERROR
·
·
spring-shiro.xml主要配置示例
<beanid=“shiroFilter” class=“org.apache.shiro.spring.web.ShiroFilterFactoryBean”>
<propertyname=“securityManager” ref=“securityManager”/>
<propertyname=“loginUrl” value=“/login”/>
<propertyname=“successUrl” value=“/index”/>
<propertyname=“unauthorizedUrl” value=“/unauthorized”/>
<propertyname=“filterChainDefinitions”>
/js/**= anon
/index.htm*=anon
/unauthorized.jsp*=anon
/login.jsp*= anon
/login.do = authc
/logout.do = authc
/**= authc
<beanid=“securityManager” class=“org.apache.shiro.web.mgt.DefaultWebSecurityManager”>
<propertyname=“realm” ref=“redisRealm”/>
<propertyname=“sessionManager” ref=“sessionManager”/>
<propertyname=“cacheManager” ref=“cacheManager”/>
<beanid=“lifecycleBeanPostProcessor” class=“org.apache.shiro.spring.LifecycleBeanPostProcessor”/>
<beanclass=“org.springframework.aop.framework.autoproxy.DefaultAdvisorAutoProxyCreator”
depends-on=“lifecycleBeanPostProcessor”/>
<beanclass=“org.apache.shiro.spring.security.interceptor.AuthorizationAttributeSourceAdvisor”>
<propertyname=“securityManager” ref=“securityManager”/>
<beanid=“redisSessionDAO” class=“com.xxxx.webkits.shiro.RedisSessionDAO”>
<propertyname=“expire” value=“3600”/>
<beanid=“sessionManager” class=“org.apache.shiro.web.session.mgt.DefaultWebSessionManager”>
<propertyname=“sessionDAO” ref=“redisSessionDAO”/>
<propertyname=“sessionIdCookie” ref=“sessionIdCookie”/>
<beanid=“cacheManager” class=“com.xxxxx.webkits.shiro.RedisCacheManager”>
<propertyname=“expire” value=“3600”/>
<beanid=“sessionIdCookie” class=“org.apache.shiro.web.servlet.SimpleCookie”>
<constructor-argvalue=“sid”/>
<propertyname=“httpOnly” value=“true”/>
<propertyname=“domain” value=“vip.xkeshi.com”/>
项目中要是自定义一个Realm类，继承AuthorizingRealm抽象类，重载doGetAuthenticationInfo()与doGetAuthorizationInfo() 实现获取用户信息及授权信息查询
/**
*Created by ylc on 2016/2/1.
*/
@Component(“redisRealm”)
public class RedisRealm extends AuthorizingRealm {
private RedisManager redisManager;
//权限验证-授权查询回调函数, 进行鉴权但缓存中无用户的授权信息时调用
@Override
protected AuthorizationInfodoGetAuthorizationInfo(PrincipalCollection principalCollection) {…}
//登陆验证-认证回调函数,登录时调用
@Override
protected AuthenticationInfodoGetAuthenticationInfo(AuthenticationToken authenticationToken) throws AuthenticationException {…}
另外：
项目中需要配置 redis 连接池~ 否则无法使用
项目依赖示例，仅供参考
com.xxxxx
xxxx-framework-webkits
1.0.8-SNAPSHOT
com.xxxx
xxxx-framework-core
1.0.8-SNAPSHOT
org.apache.shiro
shiro-core
1.2.3
org.apache.shiro
shiro-web
1.2.3
org.apache.shiro
shiro-spring
1.2.3