Web应用程序ApacheShiro集成

Question

我试图了解ApacheShiro工作流以及如何将其集成到我的应用程序中。我不明白的是，我如何以及在哪里执行登录，然后发送重定向？或者Shiro会自动执行此操作（因为我在ini文件中指定了域）？我可以发送自定义信息（用户属性）和重定向（通过Servlet响应而不是支持bean）吗？

到目前为止我所了解和拥有的：

将Shiro侦听器和过滤器添加到web。xml文件，以便它能够响应请求：

<listener>
    <listener-class>org.apache.shiro.web.env.EnvironmentLoaderListener</listener-class>
</listener>

<filter>
    <filter-name>ShiroFilter</filter-name>
    <filter-class>org.apache.shiro.web.servlet.ShiroFilter</filter-class>
</filter>

<filter-mapping>
    <filter-name>ShiroFilter</filter-name>
    <url-pattern>/*</url-pattern>
    <dispatcher>REQUEST</dispatcher>
    <dispatcher>FORWARD</dispatcher>
    <dispatcher>INCLUDE</dispatcher>
    <dispatcher>ERROR</dispatcher>
</filter-mapping>

创建一个shiro。ini文件，您可以在其中为Shiro配置一些属性：

[main]
shiro.loginURL = /login.xhtml
myRealm = com.example.shiro.MyRealm
securityManager.realms = $myRealm

[urls]
/account/** = authc
/logout = logout

创建自定义领域类：

@Stateless
@Local(Realm.class)
public class SecurityBean implements Realm{
    private EntityManager em;
    private TypedQuery<Credential> cQuery;

    @Override
    public Account getAuthenticationInfo(AuthenticationToken token) throws AuthenticationException {
        try{
            cQuery = em.createNamedQuery("getCredentials", Credential.class);
            cQuery.setParameter("userName", ((UsernamePasswordToken) token).getUsername());
            Credential c = cQuery.getSingleResult();
            boolean b = Encryption.compare(new String(((UsernamePasswordToken) token).getPassword()), c.getSalt(), c.getEncryptedPassword());
            if(b){
                return c;
            }else{
                throw new AuthenticationException("Passwords do not match.");
            }
        }catch(Exception e){
            throw new AuthenticationException("Error verifying credentials.");
        }
    }

    @Override
    public String getName() {
        return "User Realm";
    }

    @Override
    public boolean supports(AuthenticationToken token) {
        if(token instanceof UsernamePasswordToken){
            return true;
        }else{
            return false;
        }
    }
}

其中Encryption是用于加密和比较密码的类，Credential是用于存储用户名和密码的JPA实体类：

@NamedQueries({@NamedQuery(name = "getCredentials", query = "SELECT c FROM Credential c WHERE c.userName = :userName"),
            @NamedQuery(name = "deleteCredentials", query = "DELETE FROM Credential c WHERE c.userName = :userName")})
@Entity
public class Credential implements Serializable, Account{
    private static final long serialVersionUID = 2555682746921997545L;

    @Id @GeneratedValue
    private long id;

    private String userName;

    private String encryptedPassword;
    private String salt;

    private User user;

    //... getters/setters...
}

其中User是实际存储用户应用程序信息的JPA实体类。

Answer 1

Shiro将自动拦截对受限资源的任何请求，并显示定义的登录屏幕。您只需声明应用程序资源所需的身份验证级别。使用您的代码：

[main]
shiro.loginURL = /login.xhtml
myRealm = com.example.shiro.MyRealm
securityManager.realms = $myRealm

[urls]
/account/** = authc
/logout = logout

你在告诉四郎：

1. 要显示给用户的登录屏幕是/login.xhtml
2. 你的Realm类是com.example.shiro.MyRealm。Shiro将实例化它，并将应用特定的安全操作委托给它。这里是您可以编写特定安全代码的地方。如果我没有理解错误，您的SecurityBean是您自定义的Realm，因此它应该重命名为com.example.shiro.MyRealm，或者您更改myRealm以指向该类.
3. /账户/**=Authc：/账户/中的每个资源都需要对用户进行身份验证。因此，如果用户尚未通过身份验证，任何尝试去那里的尝试都将导致Shiro显示登录页面。
4. 当用户转到/logout时，shiro将结束会话

我看到的是，您在[urls]部分的开头缺少这一行：/login.xhtml=Authc。/login.xhtml不限于经过身份验证的用户（否则没有人可以登录），但仍必须为其指定Authc过滤器，以便它可以处理该url的登录提交。它足够聪明，可以允许这些请求通过上面的shiro.loginUrl指定的。

顺便说一句，如果你也想有一个完整的用户管理解决方案，看看Stormpath。我们也有一个插件，与Shiro无缝工作。你可以看看我们的示例Stormpath Shiro应用程序

免责声明，我是一名积极的Stormpath贡献者。