shirorememberMe 流程原理研究
-
输入用户密码正儿八经登录时, 如果勾选了"记住我", 则后台给shiro设置rememberme
前一次登录勾选了记住我, 则本次登录时isRemembered()==true (如果上一次设置了rememberme , 本次登录是不会触发action 中的login() 的方法的, 即会直接进入登录状态. 这里为了演示, 强行进入login() 方法).
- 经过
shiro 的login() 则表示为认证登录的. 就是说authentication==true . 访问权限最高.
-
rememberMe==true , 则将不会进入任何action. 可以访问所有user 控制的页面或路径. 但不能访问authc 控制的.
但是authentication=false . 这里有个关键点:
subject.isAuthenticated()==true,
则subject.isRemembered()==false;
反之一样
下图所示, authentication=false , 并且能够principle 不为空, 能够获取用户信息.
关于过滤器规则设置
另外对于过滤器,一般这样使用:
- 访问一般网页,如个人在主页之类的,我们使用user拦截器即可,user拦截器只要用户登录
(isRemembered()==true or isAuthenticated()==true) 通过即可访问成功;
- 访问特殊网页,如我的订单,提交订单页面,我们使用
authc 拦截器即可,authc 拦截器会判断用户是否是通过Subject.login(isAuthenticated()==true) 登录的,如果是才放行,否则会跳转到登录页面叫你重新登录。
关于rememberMe 的cookie
-
shiro 自动对用户对象序列化并加密. 当获得请求时, 能够获取反序列化且解密之后的用户对象。
- 当设置
rememberMe==false , 将会自动清空rememberMe cookie.
如下图, 在设置rememberMe==false 的前提下, 之前的rememberMe cookie已经不见了.
注: username和password cookie是之前我自己设置的
项目重启后(排除缓存影响). 强行访问action , 能够获取user 对象.
不想要自动登录怎么办?
调用shiro 的logout() 方法, 即消除自动登录功能.
rememberMe功能实现
简单实现
- 引入shiro框架
引入maven 坐标.
<!-- 权限控制 框架 -->
<dependency>
<groupId>org.apache.shiro</groupId>
<artifactId>shiro-all</artifactId>
<version>${shiro.version}</version>
</dependency>
- 配置spring
<!--~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
shiro框架相关
-->
<!--配置shiro的过滤器工厂bean-->
<bean id="shiroFilter" class="org.apache.shiro.spring.web.ShiroFilterFactoryBean">
<!--注入安全管理器-->
<property name="securityManager" ref="securityManager"/>
<!--注入相关页面访问url-->
<property name="loginUrl" value="/login.jsp"/>
<property name="successUrl" value="/index.jsp"/>
<property name="unauthorizedUrl" value="/unauthorized.jsp"/>
<!--注入url拦截规则-->
<property name="filterChainDefinitions">
<value>
/css/**=anon
/js/**=anon
/images/**=anon
/validatecode.jsp*=anon
/userAction_login.action=anon
/customerAction_login.action=anon
/info.jsp*=anon
/courierAction_pageQuery*=perms["courier:list"]
/pages/base/courier.jsp*=perms["courier:list"]
/** = user
/pay/** = authc
</value>
</property>
</bean>
<!--注册安全管理对象-->
<bean id="securityManager" class="org.apache.shiro.web.mgt.DefaultWebSecurityManager">
<property name="realm" ref="userRealm"/>
<!--注入缓存管理器-->
<property name="cacheManager" ref="cacheManager"/>
</bean>
<!--自定义realm-->
<bean id="userRealm" class="com.sykd.bos.service.system.realm.UserRealm"></bean>
<!--注册缓存管理器: 这里用ehcache插件(已被shiro集成)-->
<bean id="cacheManager" class="org.apache.shiro.cache.ehcache.EhCacheManager">
<!--指定ehcache配置文件-->
<property name="cacheManagerConfigFile" value="classpath:ehcache.xml"/>
</bean>
- 实现上文配置文件中
realm
public class UserRealm extends AuthorizingRealm {
@Autowired
private UserDao userDao;
@Autowired
private PermissionDao permissionDao;
@Override
protected AuthenticationInfo doGetAuthenticationInfo(AuthenticationToken authenticationToken) throws AuthenticationException {
UsernamePasswordToken token = (UsernamePasswordToken) authenticationToken;
// !这里的username可能并不是真正的username, 可能是手机号或者其他可以作为登录凭证的字段!
String username = token.getUsername();
User u = userDao.findByUsernameOrTelephone(username, username);
if (u == null) {
return null;
}
AuthenticationInfo info = new SimpleAuthenticationInfo(u, u.getPassword(), this.getName());
return info;
}
@Override
protected AuthorizationInfo doGetAuthorizationInfo(PrincipalCollection principalCollection) {
//获取当前用户
User user = (User) principalCollection.getPrimaryPrincipal();
//内置用户:授予所有权限
List<Permission> permissions = null;
if (user != null && user.getUsername().equals("admin")) {
permissions = permissionDao.findAll();
} else { // 其他普通用户:查出该用户对应的所有权限
permissions = permissionDao.findByUserId(user.getId());
}
// 授权
SimpleAuthorizationInfo info = new SimpleAuthorizationInfo();
for (Permission p : permissions) {
info.addStringPermission(p.getKeyword());
}
return info;
}
}
- 登录
action
@Action(value = "userAction_login")
public String login() throws UnsupportedEncodingException {
Log.begin();
String validateCode_ser = (String) ServletActionContext.getRequest().getSession().getAttribute("validateCode");
Subject subject;
if (StringUtils.isNotBlank(this.validateCode) && this.validateCode.equals(validateCode_ser)) {
subject = SecurityUtils.getSubject();
// 不论用户输入的是用户名还是手机号, 前台标签统一用username接收
UsernamePasswordToken token = new UsernamePasswordToken(user.getUsername(), user.getPassword());
//[[ADD 2018-1-9 14:44:01
// 设置是否'记住我'
rememberme = rememberme == null ? false : rememberme; //null=>false
token.setRememberMe(rememberme);
// ]]
try {
subject.login(token);
if (rememberme)
LOG.info("用户【{}】自动登录----{}", "天王", String.valueOf(System.currentTimeMillis()));
} catch (AuthenticationException e) {
e.printStackTrace();
return LOGIN;
}
} else {
this.addActionError("输入的验证码有误!");
return ERROR;
}//end if
return "home";
}
注意: 默认cookie会保存一年. 这个有点太长了, 通常需要缩短.
自定义cookie, 并指定寿命
主要是spring 配置的区别, 需要: 1. 配置自定义cookie; 2. 注入给rememberMeManager ; 3. 将rememberMeManager 注入给securityManager .
<!--~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
shiro框架相关
-->
<!--配置shiro的过滤器工厂bean-->
<bean id="shiroFilter" class="org.apache.shiro.spring.web.ShiroFilterFactoryBean">
<!--注入安全管理器-->
<property name="securityManager" ref="securityManager"/>
<!--注入相关页面访问url-->
<property name="loginUrl" value="/login.jsp"/>
<property name="successUrl" value="/index.jsp"/>
<property name="unauthorizedUrl" value="/unauthorized.jsp"/>
<!--注入url拦截规则-->
<property name="filterChainDefinitions">
<value>
/css/**=anon
/js/**=anon
/images/**=anon
/validatecode.jsp*=anon
/userAction_login.action=anon
/customerAction_login.action=anon
/info.jsp*=anon
/courierAction_pageQuery*=perms["courier:list"]
/pages/base/courier.jsp*=perms["courier:list"]
/** = user
/pay/** = authc
</value>
</property>
</bean>
<!--注册安全管理对象-->
<bean id="securityManager" class="org.apache.shiro.web.mgt.DefaultWebSecurityManager">
<property name="realm" ref="userRealm"/>
<!--注入缓存管理器-->
<property name="cacheManager" ref="cacheManager"/>
<!--注入rememberMe cookie管理器-->
<property name="rememberMeManager" ref="rememberMeManager"/>
</bean>
<bean id="userRealm" class="com.sykd.bos.service.system.realm.UserRealm"></bean>
<!--手动指定cookie-->
<bean id="rememberMeCookie" class="org.apache.shiro.web.servlet.SimpleCookie">
<constructor-arg value="rememberMe"/>
<property name="httpOnly" value="true"/>
<property name="maxAge" value="604800"/><!-- 7天 -->
</bean>
<!-- rememberMe管理器 -->
<bean id="rememberMeManager"
class="org.apache.shiro.web.mgt.CookieRememberMeManager">
<!--注入自定义cookie(主要是设置寿命, 默认的一年太长)-->
<property name="cookie" ref="rememberMeCookie"/>
</bean>
<!--注册缓存管理器: 这里用ehcache插件(已被shiro集成)-->
<bean id="cacheManager" class="org.apache.shiro.cache.ehcache.EhCacheManager">
<!--指定ehcache配置文件-->
<property name="cacheManagerConfigFile" value="classpath:ehcache.xml"/>
</bean>
复杂实现
这种方式需要在spring 中配置很多参数. 很繁琐. 但是功能齐全. 如果只想实现简单的自动功能, 可以参照简单实现.
本部分spring 配置可参见: 第十三章 RememberMe——《跟我学Shiro》
参考资料:
[1] http://jinnianshilongnian./blog/2031823
[2] http://blog./shiro-remember-me/
[3] http://blog.csdn.net/lhacker/article/details/20447479
|