j2ee简单⽹站搭建：（七）使⽤shiro结合jcaptcha实现⽤户验
证登录
shiro 要⽐ Spring Security 轻量简单。shiro 对于⽤户登录 session 默认会使⽤ ehcache 缓存，因此在加载 jar 包时也需要将 ehcache 引⼊。此外 shiro 默认使⽤正常的 request 提交⽅法完成验证请求，如果采⽤ ajax ⽅式登录，需要相对复杂的接⼝实现，在本⽂最后会简要介绍。使⽤ shiro 主要就是对需要⽤户⾃⼰实现的 AuthorizingRealm 和 FormAuthenticationFilter 两个类中相关⽅法进⾏重载，其次就是完成 shiro 配置⽂件的各个环节修改。jcaptcha 配置不在本⽂中说明，请参考本系列第五篇。
shiro 版本 1.4.0-RC2
ehcache 版本 3.3.1
⼀ 在 l 中添加 shiro 需要的库
<properties>
<shiro.version>1.4.0-RC2</shiro.version>
<ehcache.version>3.3.1</ehcache.version>
</properties>
<dependencies>
<!-- Apache 安全验证框架 shiro start -->
<dependency>
<groupId>org.apache.shiro</groupId>
<artifactId>shiro-core</artifactId>
<version>${shiro.version}</version>
</dependency>
<dependency>
<groupId>org.apache.shiro</groupId>
<artifactId>shiro-spring</artifactId>
<version>${shiro.version}</version>
</dependency>
<dependency>
<groupId>org.apache.shiro</groupId>
<artifactId>shiro-web</artifactId>
<version>${shiro.version}</version>
</dependency>
<dependency>
<groupId>org.apache.shiro</groupId>
<artifactId>shiro-ehcache</artifactId>
<version>${shiro.version}</version>
</dependency>
<dependency>
<groupId>org.apache.shiro</groupId>
<artifactId>shiro-quartz</artifactId>
<version>${shiro.version}</version>
</dependency>
<!-- ehcache 缓存包 -->
<dependency>
<groupId>org.ehcache</groupId>
<artifactId>ehcache</artifactId>
<version>${ehcache.version}</version>
</dependency>
<!-- Apache 安全验证框架 shiro end -->
</dependencies>
⼆ 添加 ehcache 缓存配置⽂件 l
<ehcache updateCheck="false" name="defaultCache">
<diskStore path="pdir"/>
<defaultCache
maxElementsInMemory="10000"
maxElementsOnDisk="0"
eternal="true"
overflowToDisk="true"
diskPersistent="false"
timeToIdleSeconds="0"
timeToLiveSeconds="0"
diskSpoolBufferSizeMB="50"
diskExpiryThreadIntervalSeconds="120"
memoryStoreEvictionPolicy="LFU"/>
<cache name="categorytree"
maxElementsInMemory="1000"
maxElementsOnDisk="0"
eternal="false"
overflowToDisk="false"
diskPersistent="false"
timeToIdleSeconds="120"
timeToLiveSeconds="300"
diskSpoolBufferSizeMB="50"
diskExpiryThreadIntervalSeconds="120"
memoryStoreEvictionPolicy="LFU"/>
<cache name="normalcategorytree"
maxElementsInMemory="1000"
maxElementsOnDisk="0"
eternal="false"
overflowToDisk="false"
diskPersistent="false"
timeToIdleSeconds="120"
timeToLiveSeconds="300"
diskSpoolBufferSizeMB="50"
diskExpiryThreadIntervalSeconds="120"
memoryStoreEvictionPolicy="LFU"/>
</ehcache>
<!-- EHCache 参数含义
name：cache标识
maxElementsInMemory：设置基于内存的缓存可存放对象的最⼤数⽬
maxElementOnDisk：设置基于硬盘的缓存可存放对象的最⼤数⽬(现在不设置，基于硬盘IO也会⽐较耗费时间)
eternal：如果为true，表⽰对象永远不会过期，此时会忽略tiemToldleSeconds和timeToLiveSeconds属性，默认为false。
timeToldleSeconds：设置允许对象处于空间状态的最长时间。当对象⾃动最近⼀次被访问后，如果处于空闲状态的时间超过了
timeToldleSeconds属性值，这个对象就会过期。当对象过期，只有当eternal属性为false，该属性才有
效。如果该属性的值为0，那么就表⽰该对象可以⽆限期地存于缓存中。
timeToLiveSeconds必须⼤于timeToldleSeconds属性，才有意义。不需要配置此项。
overflowToDisk：如果为true，表⽰当基于内存的缓存中的对象数⽬达到了maxElementsInMemory界限后，会把溢出的对象写到基于硬盘的缓存中。
注意，如果缓存的对象要写⼊到硬盘中的话，则该对象必须时间了Serializable接⼝才⾏；
memoryStoreEvictionPolicy：缓存清除策略：FIFO，LFU，LRU
-->
三 添加 l 配置⽂件，连接 spring 和 ehcache ，该⽂件新建后需要在 l ⽂件 <context-param> 节点的<param-value> 参数节点中添加⼀⾏ l 的配置信息，格式为 classpath*:l
<beans xmlns="/schema/beans"
xmlns:cache="/schema/cache"
xmlns:xsi="/2001/XMLSchema-instance"
xsi:schemaLocation="
/schema/beans
/schema/beans/spring-beans.xsd
/schema/cache
/schema/cache/spring-cache.xsd">
<description>ehcache configuration</description>
<cache:annotation-driven cache-manager="cacheManager"/>
<bean id="ehcacheManager" class="org.springframework.cache.ehcache.EhCacheManagerFactoryBean">
<property name="configLocation" value="l"/>
</bean>
<bean id="cacheManager" class="org.springframework.cache.ehcache.EhCacheCacheManager">
<property name="cacheManager" ref="ehcacheManager"/>
<property name="transactionAware" value="true" />
</bean>
</beans>
四 添加 l 配置⽂件，连接 spring 和 shiro ，该配置⽂件⾮常重要，具体节点含义请参照以下节点的注释。
需要提前说明的是 securityManager 节点中的 com.binux.webdemo.shiro.DBRealm 定义了⽤户如何进⾏认证。
节点 jCaptchaFormAuthenticationFilter 中的 com.binux.webdemo.shiro.JCaptchaFormAuthenticationFilter 定义了⽤户登录页⾯提交的和⽤户名、密码、验证码相关的控件名称和验证逻辑。
节点 shiroFilter 中的 <property name="loginUrl" value="/login"/> 定义了如果⽤户未认证会转向哪个待认证路径，也就是登录界⾯的请求路径，本例中为 /login ，该路径需要在 controller 包中有对应的类和⽅法处理该路径指向⽹站根⽬录下的 login.jsp 页⾯，本例中在TestController.java 类的 login ⽅法中实现转向。
节点 shiroFIlter 中的 <property name="successUrl" value="/index"/> 定义了如果⽤户认证成功后会请求哪个路径， 本例为 /index，该路径需要在 controller 包中有对应的类和⽅法处理该路径指向⽹站根⽬录下的 index.jsp 页⾯，本例中在 TestController.java 类的loginin ⽅法中实现转向。
节点 shiroFIlter 中的 <property name="filterChainDefinitions"> 定义了哪些路径需要验证，哪些可以排除，本例中除验证码图⽚的⽣成路径外其它所有路径都需要验证，所以配置为 /captcha/** = anon 和 /** = authc
<?xml version="1.0" encoding="UTF-8"?>
<beans xmlns="/schema/beans"
xmlns:xsi="/2001/XMLSchema-instance"
xsi:schemaLocation="
/schema/beans
/schema/beans/spring-beans.xsd">
<!-- Shiro配置开始 -->
<bean id="securityManager" class="org.apache.DefaultWebSecurityManager">
<!-- 指定Shiro验证⽤户登录的类为⾃定义的Realm（若有多个Realm，可使⽤[realms]属性代替） -->
<property name="realm">
<bean class="com.binux.webdemo.shiro.DBRealm"/>
</property>
<!--
Shiro默认会使⽤Servlet容器的Session，此时修改超时时间的话，可以修改l或者这⾥⾃定义的MyRealm
⽽若想使⽤Shiro原⽣Session则可以设置sessionMode属性为native，此时修改超时时间则只能修改MyRealm
-->
<!-- <property name="sessionMode" value="native"/> -->
</bean>
<!-- ⾃定义form认证过虑器 -->
<!-- 基于Form表单的⾝份验证过滤器，不配置将也会注册此过虑器，表单中的⽤户账号、密码及loginurl将采⽤默认值，建议配置 -->
<bean id="jCaptchaFormAuthenticationFilter" class="com.binux.webdemo.shiro.JCaptchaFormAuthenticationFilter">
<!-- 表单中账号的input名称 -->
<property name="usernameParam" value="username" />
<!-- 表单中密码的input名称 -->
<!-- 表单中密码的input名称 -->
<property name="passwordParam" value="password" />
</bean>
<!-- Shiro主过滤器本⾝功能⼗分强⼤，其强⼤之处就在于它⽀持任何基于URL路径表达式的、⾃定义的过滤器的执⾏ -->
<!-- Web应⽤中，Shiro可控制的Web请求必须经过Shiro主过滤器的拦截，并且Shiro对基于Spring的Web应⽤提供了完美的⽀持 -->
<bean id="shiroFilter" class="org.apache.shiro.spring.web.ShiroFilterFactoryBean">
<!-- Shiro的核⼼安全接⼝，这个属性是必须的 -->
<property name="securityManager" ref="securityManager"/>
<!-- 要求登录时的链接（可根据项⽬的URL进⾏替换），⾮必须的属性，默认会Web⼯程根⽬录下的[/login.jsp] -->
<property name="loginUrl" value="/login"/>
<!-- 登录成功后要跳转的连接（本例中此属性⽤不到，因为登录成功后的处理逻辑已在LoginController中硬编码为main.jsp） -->
java加密方式有哪些<property name="successUrl" value="/index"/>
<!--
⽤户访问未授权的资源时，所显⽰的连接
若想更明显的测试此属性可以修改它的值，⽐如unauthor.jsp
然后⽤[xuanyu]登录后访问/admin/list.jsp就看见浏览器会显⽰unauthor.jsp
-->
<property name="unauthorizedUrl" value="/login"/>
<!-- ⾃定义filter配置 -->
<property name="filters">
<map>
<!-- 将⾃定义的FormAuthenticationFilter注⼊shiroFilter中 -->
<entry key="authc" value-ref="jCaptchaFormAuthenticationFilter" />
</map>
</property>
<!--
Shiro连接约束配置，即过滤链的定义
更详细介绍，见本⽂最下⽅提供的Shiro-1.2.2内置的FilterChain说明
下⾯value值的第⼀个'/'代表的路径是相对于ContextPath()的值来的
anon：它对应的过滤器⾥⾯是空的，什么都没做，另外.do和.jsp后⾯的*表⽰参数，⽐⽅说[login.jsp?main]这种
authc：该过滤器下的页⾯必须验证后才能访问，它是Shiro内置的org.apache.shiro.web.filter.authc.FormAuthenticationFilter 注意：对于类似资源，既有authc验证，也有anon允许匿名访问的情况下，需要将anon设置放在authc前⾯，才会⽣效
-->
<property name="filterChainDefinitions">
<value>
/captcha/** = anon
/
** = authc
</value>
</property>
</bean>
<!-- 保证实现了Shiro内部lifecycle函数的bean执⾏ -->
<bean id="lifecycleBeanPostProcessor" class="org.apache.shiro.spring.LifecycleBeanPostProcessor"/>
<!-- Shiro配置结束 -->
</beans>
五 新建 shiro ⽤户处理代码，其中包括组装验证信息的 DBRealm.java 类、执⾏验证的 JCaptchaFormAuthenticationFilter.java 类
1 编写验证信息组装类 DBRealm.java ，实现 shiro 的 AuthorizingRealm 类，其中 doGetAuthenticati
onInfo ⽅法是由开发⼈员⾃⼰编写可被 shiro 使⽤的认证信息，包括⽤户名、密码、加密盐，此外向开发⼈员公开了 initCredentialsMatcher ⽅法，开发⼈员可以提供⾃⼰对密码的加密算法让 shiro 使⽤，shiro 使⽤开发⼈员提供的服务端保存的真实⽤户信息和客户端浏览器提交的信息使⽤开发⼈员的加密算法加密后进⾏对⽐，⼀致则认证成功。

版权声明：本站内容均来自互联网，仅供演示用，请勿用于商业和其他非法用途。如果侵犯了您的权益请与我们联系QQ:729038198，我们将在24小时内删除。