Shiro笔记（二）Shiro集成SpringMVC的环境配置

0.pom文件引入

		<!-- SECURITY begin -->
		<dependency>
			<groupId>org.apache.shiro</groupId>
			<artifactId>shiro-core</artifactId>
			<version>${shiro.version}</version>
		</dependency>

		<dependency>
			<groupId>org.apache.shiro</groupId>
			<artifactId>shiro-quartz</artifactId>
			<version>${shiro.version}</version>
		</dependency>

		<dependency>
			<groupId>org.apache.shiro</groupId>
			<artifactId>shiro-spring</artifactId>
			<version>${shiro.version}</version>
		</dependency>
		<dependency>
			<groupId>org.apache.shiro</groupId>
			<artifactId>shiro-cas</artifactId>
			<version>${shiro.version}</version>

		</dependency>
		<dependency>
			<groupId>org.apache.shiro</groupId>
			<artifactId>shiro-web</artifactId>
			<version>${shiro.version}</version>
		</dependency>
		<dependency>
			<groupId>org.apache.shiro</groupId>
			<artifactId>shiro-ehcache</artifactId>
			<version>${shiro.version}</version>
		</dependency>

		<dependency>
			<groupId>commons-collections</groupId>
			<artifactId>commons-collections</artifactId>
			<version>3.2.1</version>
		</dependency>
		<!-- SECURITY end -->

1.在web.xml中配置Shiro的过滤器

DelegatingFilterProxy作用是自动到spring容器查找 名字为shiroFilter（filter-name）的bean并把所有Filter的操作委托给它。 然后将ShiroFilter配置到spring容器即可.

DelegatingFilterProxy实际上是一个filter的代理对象,默认情况下,Spring会到IOC容器中查找和对应的bean.也可以通过targetBeanName的初始化参数来配置filter bean的id.

<filter>
	<filter-name>shiroFilter</filter-name>
	<filter-class>org.springframework.web.filter.DelegatingFilterProxy</filter-class>
	<init-param>
		<param-name>targetFilterLifecycle</param-name>
		<param-value>true</param-value>
	</init-param>
</filter>
<filter-mapping>
	<filter-name>shiroFilter</filter-name>
	<url-pattern>/*</url-pattern>
</filter-mapping>

2.在Spring-shiro.xml中配置

1.配置SecurityManager.

<bean id="securityManager" class="org.apache.shiro.web.mgt.DefaultWebSecurityManager">
	<property name="realm" ref="systemAuthorizingRealm" />
	<property name="cacheManager" ref="cacheManager" />
	<property name="sessionManager" ref="sessionManager" />
</bean>

Realm实现 域 安全数据源 我们认证和权限信息都是从Realm获取的(继承自org.apache.shiro.realm)

<bean id="systemAuthorizingRealm" class="com.yl.video.security.SystemAuthorizingRealm">
	<property name="credentialsMatcher" ref="credentialsMatcher" />
</bean>

一个自定义的Redis缓存管理器(自定义类继承自org.apache.shiro.cache.CacheManager)

<!--以后会使用Redis的缓存管理
	<bean id="cacheManager" class="com.yl.video.security.cache.JedisCacheManager">
</bean> -->

<!-- 暂时使用Ehcache -->
<bean id="cacheManager" class="org.apache.shiro.cache.ehcache.EhCacheManager">
	<property name="cacheManagerConfigFile" value="classpath:ehcache.xml" />
</bean>

Shiro提供了完整的企业级会话管理功能，不依赖于底层容器（如web容器tomcat）， 不管JavaSE还是JavaEE环境都可以使用，提供了会话管理、会话事件监听、会话存储/持久化、容器无关的集群、失效/过期支持、对Web的透明支持、SSO单点登录的支持等特性。即直接使用Shiro的会话管理可以直接替换如Web容器的会话管理 Shiro提供了三个默认实现： DefaultSessionManager：DefaultSecurityManager使用的默认实现，用于JavaSE环境； ServletContainerSessionManager：DefaultWebSecurityManager使用的默认实现，用于Web环境，其直接使用Servlet容器的会话； DefaultWebSessionManager：用于Web环境的实现，可以替代ServletContainerSessionManager，自己维护着会话，直接废弃了Servlet容器的会话管理。

<bean id="sessionManager" class="org.apache.shiro.web.session.mgt.DefaultWebSessionManager">
	<property name="globalSessionTimeout" value="180300000" />
	<property name="deleteInvalidSessions" value="true" />
	<property name="sessionValidationSchedulerEnabled" value="true" />
	<property name="sessionValidationScheduler" ref="sessionValidationScheduler" />
	<property name="sessionDAO" ref="sessionDAO" />
	<property name="sessionIdCookieEnabled" value="true" />
	<property name="sessionIdCookie" ref="sessionIdCookie" />
</bean>

<!-- 会话验证调度器 -->
<bean id="sessionValidationScheduler"
	class="org.apache.shiro.session.mgt.quartz.QuartzSessionValidationScheduler">
	<property name="sessionValidationInterval" value="18000" />
	<property name="sessionManager" ref="sessionManager" />
</bean>

<!-- <bean id="sessionDAO" class="com.yl.video.security.session.JedisSessionDAO">
	<property name="sessionIdGenerator" ref="sessionIdGenerator" /> </bean> -->

<!-- sessionDao的实现方式使用CacheSessionDao暂时不用Redis的SessionDao -->
<bean id="sessionDAO" class="com.yl.video.security.session.CacheSessionDAO">
	<property name="sessionIdGenerator" ref="sessionIdGenerator" />
	<property name="activeSessionsCacheName" value="activeSessionsCache" />
	<property name="cacheManager" ref="cacheManager" />
</bean>

<bean id="sessionIdGenerator" class="org.apache.shiro.session.mgt.eis.JavaUuidSessionIdGenerator" />

<!-- 会话Cookie模板 sessionIdCookie是用于生产Session ID Cookie的模板； -->
<!-- 指定本系统SESSIONID, 默认为: JSESSIONID 问题: 与SERVLET容器名冲突, 如JETTY, TOMCAT 等默认JSESSIONID,
	当跳出SHIRO SERVLET时如ERROR-PAGE容器会为JSESSIONID重新分配值导致登录会话丢失! httpOnly 如果设置为true，则客户端不会暴露给客户端脚本代码，使用HttpOnly
	cookie有助于减少某些类型的跨站点脚本攻击 -->
<bean id="sessionIdCookie" class="org.apache.shiro.web.servlet.SimpleCookie">
	<!-- cookie的name,对应的默认是 JSESSIONID -->
	<constructor-arg name="name" value="SHAREJSESSIONID" />
	<property name="httpOnly" value="true" />
	<property name="maxAge" value="1000000" />
</bean>

2.配置lifecycleBeanPostProcessor 可以自动的来调用配置在Spring IOC 容器中 shiro bean的生命周期方法.

<!-- 保证实现了Shiro内部lifecycle函数的bean执行 -->
<bean id="lifecycleBeanPostProcessor" class="org.apache.shiro.spring.LifecycleBeanPostProcessor" />

3.启动IOC容器中使用Shiro的注解．但必须配置了lifecycleBeanPostProcessor后才可以调用．

<!-- AOP式方法级权限检查 -->
<bean
	class="org.springframework.aop.framework.autoproxy.DefaultAdvisorAutoProxyCreator"
	depends-on="lifecycleBeanPostProcessor">
	<property name="proxyTargetClass" value="true" />
</bean>
<bean
	class="org.apache.shiro.spring.security.interceptor.AuthorizationAttributeSourceAdvisor">
	<property name="securityManager" ref="securityManager" />
</bean>

4.MethodInvokingFactoryBean (???)

<!-- 相当于调用SecurityUtils.setSecurityManager(securityManager) -->
<bean
	class="org.springframework.beans.factory.config.MethodInvokingFactoryBean">
	<property name="staticMethod"
		value="org.apache.shiro.SecurityUtils.setSecurityManager" />
	<property name="arguments" ref="securityManager" />
</bean>

5 加密

<!-- 凭证匹配器 shiro 为我们提供了加密的功能 md5 是不可逆的 AES 对称加密，可以加密解密 RSA 非对称加密(公钥 私钥)（shiro
	没有提供) -->
<bean id="credentialsMatcher"
	class="com.yl.video.security.RetryLimitHashedCredentialsMatcher">
	<constructor-arg ref="cacheManager" />
	<!-- 指定加密的方式是md5 -->
	<property name="hashAlgorithmName" value="md5" />
	<!--进行两次md5 加盐 -->
	<property name="hashIterations" value="2" />
	<property name="storedCredentialsHexEncoded" value="true" />
</bean>

6.Shiro的Web过滤器

6.1 bean的id必须和web.xml文件中配置的DelegatingFilterProxy的一致.

<!-- Shiro的Web过滤器 ShiroFilter是整个Shiro的入口点，用于拦截需要安全控制的请求进行处理，这个之前已经用过了 -->
<bean id="shiroFilter" class="org.apache.shiro.spring.web.ShiroFilterFactoryBean">
	<property name="securityManager" ref="securityManager" />
	<property name="loginUrl" value="/admin/login.action" />
	<property name="filterChainDefinitions">
		<value>
			<!-- “/authenticated.jsp = authc”表示访问该地址用户必须身份验证通过（Subject.isAuthenticated()==true）;
				而“/** = user”表示访问该地址的用户是身份验证通过或RememberMe登录的都可以
				anno 表示不需要认证和权限检查就可以访问 -->
			/static/** = anon
			/admin/addSysUser.action=anon
			<!-- 退出登录地址 -->
			/admin/logout.action =logout
			/admin/** = user
		</value>
	</property>
</bean>