来自： http://my.oschina.net/u/2246410/blog/611950

shiro之web配置

一、简介

        通过配置来学习shiro，或者说通过配置来学习框架和软件，可以帮我们记忆这个框架或软件的核心功能有哪些，然后是通过什么模块来实现这些功能。本篇，我们学习shiro的web配置，同样包括了两个部分：权限(权限链)、模块(session)

二、权限配置

    a）权限链（可以看作是serlet中的filter）：在shiro的web模块中，都是通过 URI来实现权限验证。通过servlet的listener，在serlvet启动的时候，将我们在配置文件中设置的权限链（/index=authc,ssl）加载进SecurityManager中。客户通过URI（/index）来访问server端的资源(一般是接口)时，通过字符串匹配来选取权限（authc,ssl）。然后再一个一个验证，通过的就可以访问接口。

1.web.xml中  <!--用于加栽拦截链--->  <listener>      <listener-class>org.apache.shiro.web.env.EnvironmentLoaderListener</listener-class></listener>  <!-- 加入shiro的filter -->  <filter>      <filter-name>ShiroFilter</filter-name>      <filter-class>org.apache.shiro.web.servlet.ShiroFilter</filter-class>  </filter>    2.ini中的配置  #########一个拦截链 /URI=权限 #############  [urls]  /index.html = anon  /user/create = anon  /user/** = authc  /admin/** = authc, roles[administrator]  /rest/** = authc, rest/remoting/rpc/** = authc, perms["remote:invoke"]      （  ps:由于shiro采用的是String.startwith(URI)方式来判断，而且是按拦截连的配置顺序来查找权限拦截链。所以，需要将合适的拦截链放在前面。  eg：  [urls]  /index = anon  /indexss = authc  如果用户访问:/indexss，shiro会先匹配/index在前面，第二条拦截链就不会起作用.  ）

    b）默认权限

二、模块配置

    a）session：和web中的session类似（不建议在servlet中使用shiro来管理session）。

1、默认的3中session：  DefaultSessionManager：DefaultSecurityManager使用的默认实现，用于JavaSE环境；  DefaultWebSessionManager：用于Web环境的实现，可以替代ServletContainerSessionManager，自己维护着会话，直接废弃了Servlet容器的会话管理。（其它的容器使用的session，一般我们就选这个）  （    如果是servlet容器，则DefaultWebSessionManager将会使用这个：      ServletContainerSessionManager：DefaultWebSecurityManager使用的默认实现，用于Web环境，其直接使用Servlet容器的会话。  ）    2.配置：  [main]  #########默认的session#######################  sessionManager=org.apache.shiro.session.mgt.DefaultWebSessionManager  securityManager.sessionManager=$sessionManager  #########sessionId管理#######################  sessionIdCookie=org.apache.shiro.web.servlet.SimpleCookie  sessionManager=org.apache.shiro.web.session.mgt.DefaultWebSessionManager  sessionIdCookie.name=sid  sessionIdCookie.maxAge=1800  sessionIdCookie.httpOnly=true    sessionManager.sessionIdCookieEnabled=true  sessionManager.sessionIdCookie=$sessionIdCookie  #########session验证（验证过期）###############  #### 这里默认使用的是quartz-1.6.8 需要最新的quartz就需要自己实现######    sessionValidationScheduler=org.apache.shiro.session.mgt.quartz.QuartzSessionValidationScheduler  sessionValidationScheduler.sessionValidationInterval = 3600000  sessionValidationScheduler.sessionManager=$sessionManager     sessionManager.globalSessionTimeout=1800000  sessionManager.sessionValidationSchedulerEnabled=true  sessionManager.sessionValidationScheduler=$sessionValidationScheduler    #########sessionDAO#########################    sessionDAO=org.apache.shiro.session.mgt.eis.EnterpriseCacheSessionDAO  sessionDAO.activeSessionsCacheName=shiro-activeSessionCache  sessionManager.sessionDAO=$sessionDAO    ######### 开启cache#####################  cacheManager = org.apache.shiro.cache.ehcache.EhCacheManager  cacheManager.cacheManagerConfigFile=classpath:ehcache.xml  securityManager.cacheManager = $cacheManager

    b）JSP：页面标签可以帮助我们给不同的权限用户呈现不同的内容。使用方式和jsp的jstl非常相识：

        官网的jsp教材：http://shiro.apache.org/web.html#Web-SessionManagement

        1、在jsp中导入shiro

<%@taglib prefix="shiro" uri="http://shiro.apache.org/tags" %>

        2、标签

<shiro:guest></shiro:guest>：游客可查看  <shiro:user></shiro:user>：用户已经身份验证/记住我登录后显示相应的信息。第一次登录，第二次如果在cookies中有用户信息remmeber就可以查看。  <shiro:authenticated></shiro:authenticated>：用户已经身份验证通过，每次都需要登录  <shiro:notAuthenticated></shiro:notAuthenticated>：没有登录，但是上次登录有点击记住我。  <shiro:principal property="username"></shiro:principal>：根据登录时的userName  <shiro:hasRole name="admin"></<shiro:hasRole>：根据角色判定   <shiro:hasAnyRoles name="admin,user"></shiro:hasAnyRoles>：多个角色  <shiro:hasPermission name="user:create"></shiro:hasPermission>：资源字符串

        3、注解：@requestRoles和@RequiresPermissions。可以在接口上使用。

三、spring整合：

<!--和spring整合就是把前面的Ini配置，用<bean></bean>来重新实现了一次 -->    <?xml version="1.0" encoding="UTF-8"?>  <beans xmlns="http://www.springframework.org/schema/beans"   xmlns:util="http://www.springframework.org/schema/util" xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance"   xsi:schemaLocation="http://www.springframework.org/schema/beans         http://www.springframework.org/schema/beans/spring-beans.xsd         http://www.springframework.org/schema/util          http://www.springframework.org/schema/util/spring-util.xsd">         <!-- 安全管理器 securityManager start -->   <bean id="securityManager" class="org.apache.shiro.web.mgt.DefaultWebSecurityManager">    <property name="realm" ref="userRealm" />    <property name="cacheManager" ref="cacheManager" />    <!-- <property name="sessionManager" ref="sessionManager" /> -->   </bean>   <!-- 安全管理器 securityManager end -->       <!-- realm start -->   <bean id="userRealm" class="com.javass.model.shiro.ShiroRealm">    <property name="cachingEnabled" value="true" />   </bean>   <!-- realm end -->     <!-- cache start -->   <!-- <bean id="cacheManager" class="com.javass.model.shiro.cache.SpringCacheManagerWrapper">     <property name="cacheManager" ref="springCacheManager" /> </bean> -->   <bean id="cacheManager" class="org.apache.shiro.cache.ehcache.EhCacheManager">    <property name="cacheManagerConfigFile" value="classpath:ehcache.xml"></property>   </bean>   <!-- cache end -->     <!-- session start -->   <!-- 会话ID生成器 -->     <!-- 会话管理器 -->   <!--    <bean id="sessionManager"    class="org.apache.shiro.web.session.mgt.DefaultWebSessionManager">    <property name="globalSessionTimeout" value="1800000" />    <property name="deleteInvalidSessions" value="true" />    <property name="sessionValidationSchedulerEnabled" value="true" />    <property name="sessionValidationScheduler" ref="sessionValidationScheduler" />    <property name="sessionDAO" ref="sessionDAO" />    <property name="sessionIdCookieEnabled" value="true" />    <property name="sessionIdCookie" ref="sessionIdCookie" />   </bean>    -->       <!--    <bean id="sessionIdGenerator"    class="org.apache.shiro.session.mgt.eis.JavaUuidSessionIdGenerator" />    -->       <!-- 会话Cookie模板 -->   <!--     <bean id="sessionIdCookie" class="org.apache.shiro.web.servlet.SimpleCookie">    <constructor-arg value="sid" />    <property name="httpOnly" value="true" />    <property name="maxAge" value="-1" />   </bean>   -->      <!-- 会话验证调度器 -->   <!-- 使用quartz来控制 -->   <!--     <bean id="sessionValidationScheduler" class="com.javass.utils.QuartzSessionValidationScheduler">    <property name="sessionValidationInterval" value="1800000" />    <property name="sessionManager" ref="sessionManager" />   </bean> -->   <!-- 使用的默认的任务器 -->   <!--   <bean id="sessionValidationScheduler"    class="org.apache.shiro.session.mgt.ExecutorServiceSessionValidationScheduler">    <property name="interval" value="1800000" />    <property name="sessionManager" ref="sessionManager" />   </bean>   -->     <!-- session end -->   <!-- Shiro生命周期处理器 -->   <bean id="lifecycleBeanPostProcessor" class="org.apache.shiro.spring.LifecycleBeanPostProcessor" />     <!-- 自定义的登录后不能访问的filter -->   <bean id="noactionfilter" class="com.javass.model.shiro.NoActionAutenticationFilter">   </bean>     <!-- 已经登录的账户不能访问 -->   <!-- Shiro shiroFilter start -->   <bean id="shiroFilter" class="org.apache.shiro.spring.web.ShiroFilterFactoryBean">    <property name="securityManager" ref="securityManager" />    <property name="loginUrl" value="/login" />               <!--登录的跳转 URL -->    <property name="successUrl" value="/user/center" />       <!--登录成功的跳转 URL -->    <property name="unauthorizedUrl" value="/index" />     <!--无权访问的跳转 URL -->    <property name="filters">     <util:map>      <!--使用我们自定义的登录逻辑，为了支持AJAX请求 -->      <entry key="noaction" value-ref="noactionfilter" />     </util:map>    </property>    <property name="filterChainDefinitions">     <value>      <!-- 权限控制       anon: 不需要权限就能访问        logout: 注销       authc: 需要登录后才能访问，但不限制权限 authc,        roles[Admin]:  必须是 Admin 权限才能访问 -->      /index = anon      /static/** = anon      /register = anon      /login = anon,noaction      /admin/login = anon,noaction      /logout = logout      /WEB-INF/views/error.jsp=anon      /user/**=authc      /admin/**=authc,roles[admin]     </value>    </property>   </bean>   <!-- Shiro shiroFilter end -->       <!-- 使用@requestRoles这种解析annotation start -->   <bean    class="org.springframework.aop.framework.autoproxy.DefaultAdvisorAutoProxyCreator"    depends-on="lifecycleBeanPostProcessor" />   <bean    class="org.apache.shiro.spring.security.interceptor.AuthorizationAttributeSourceAdvisor">    <property name="securityManager" ref="securityManager" />   </bean>   <!-- 使用@requestRoles这种解析annotation end -->  </beans>