用Guice覆盖Shiro中身份验证类的绑定

Question

我遇到的问题与以下类型的消息有关:

OPTIONS http://localhost:8080
XMLHttpRequest cannot load http://localhost:8080/. No 'Access-Control-Allow-Origin' header is present on the requested resource. Origin 'http://localhost:3000' is therefore not allowed access. The response had HTTP status code 401.

因此，基本上，这是Angular JS 1.4.3前端在实际请求之前向服务器发送＜code＞选项

由于我无法在Angular端修复它，我认为在服务器端会很容易。会的，但我们使用Guice 4。

在 Guice 配置中，我们正确设置了 Shiro：

install(new EEShiroModule(getServletContext()));
filter("/services/*").through(GuiceShiroFilter.class);

到目前为止一切顺利。但是现在我想在系统中打一个洞，允许< code>OPTIONS请求不被验证。我在这里发现了一个类似的方法:http://blog.awolski.com/cors-dart-dropwizard-and-shiro/.

最后，我应该覆盖BasicHttpAuthenticationFilter，但它并不像在Spring或Ini配置中那么简单，因为我无法覆盖类绑定。

最好的方法是什么？谢谢

Answer 1

今天我在这里遇到了类似的问题。对于CORS请求，OPTIONS预飞行请求将被Apache Shiro视为未经身份验证，因为浏览器不会向OPTIONS请求添加自定义标头。

为了解决这个问题。我重写了AuthentiatingFilter的isAccess准许方法，使其在请求的方法为OPTIONS时始终返回true。

public class CORSAuthenticationFilter extends AuthenticatingFilter {

    @Override
    protected boolean isAccessAllowed(ServletRequest request, ServletResponse response, Object mappedValue) {

        //Always return true if the request's method is OPTIONS
        if(request instanceof HttpServletRequest){
            if(((HttpServletRequest) request).getMethod().toUpperCase().equals("OPTIONS")){
                return true;
            }
        }

        return  super.isAccessAllowed(request, response, mappedValue);
    }
}

如果您正在使用< code > permissions authorizationfilter ，您也需要覆盖它。

public class CORSPermissionAuthorizationFilter extends PermissionsAuthorizationFilter {

    @Override
    public boolean isAccessAllowed(ServletRequest request, ServletResponse response, Object mappedValue) throws IOException {
        if(request instanceof HttpServletRequest){
            if(((HttpServletRequest) request).getMethod().toUpperCase().equals("OPTIONS")){
                return true;
            }
        }
        return super.isAccessAllowed(request, response, mappedValue);
    }
}

覆盖这些过滤器后。它们应该在shiro的配置文件中声明为正在运行的实现。

这就是我做事的方式。希望有帮助，不过有点晚了。