Shiro許可權管理框架（五）：自定義Filter實現及其問題排查記錄

来源:https://www.cnblogs.com/guitu18/archive/2020/01/07/12163872.html
-Advertisement-
Play Games

明確需求 在使用 的時候，鑒權失敗一般都是返回一個錯誤頁或者登錄頁給前端，特別是後臺系統，這種模式用的特別多。但是現在的項目越來越多的趨向於使用前後端分離的方式開發，這時候就需要響應 數據給前端了，前端再根據狀態碼做相應的操作。那麼Shiro框架能不能在鑒權失敗的時候直接返回 數據呢？答案當然是可以 ...


明確需求

在使用Shiro的時候，鑒權失敗一般都是返回一個錯誤頁或者登錄頁給前端，特別是後臺系統，這種模式用的特別多。但是現在的項目越來越多的趨向於使用前後端分離的方式開發，這時候就需要響應Json數據給前端了，前端再根據狀態碼做相應的操作。那麼Shiro框架能不能在鑒權失敗的時候直接返回Json數據呢？答案當然是可以。

其實Shiro的自定義過濾器功能特別強大，可以實現很多實用的功能，向前端返回Json數據自然不在話下。通常我們沒有去關註它是因為Shiro內置的一下過濾器功能已經比較全了，後臺系統的許可權控制基本上只需要使用Shiro內置的一些過濾器就能實現了，此處再次貼上這個圖。

這已經是我第三次貼這張圖了

相關文檔地址：http://shiro.apache.org/web.html#default-filters

我最近的一個項目是需要為手機APP提供功能介面，需要做用戶登錄，Session持久化以及Session共用，但不需要細粒度的許可權控制。面對這個需求我第一個想到的就是集成Shiro了，Session的持久化及共用在Shiro系列第二篇已經講過了，那麼這篇順便用一下Shiro中的自定義過濾器。因為不需要提供細粒度許可權控制，只需要做登錄鑒權，而且鑒權失敗後需要向前端響應Json數據，那麼使用自定義Filter再好不過了。

自定義Filter

還是以第一篇的Demo為例，項目地址在文章尾部有放上，本篇在之前的代碼上繼續添加功能。

首發地址：https://www.guitu18.com/post/2020/01/06/64.html

在實現自定義Filter之前，我們先看看這個類：org.apache.shiro.web.filter.AccessControlFilter，點開它的子類，發現子類全部都是org.apache.shiro.web.filter.authc和org.apache.shiro.web.filter.authz這兩個包下的，大多都繼承了AccessControlFilter這個類。這些子類的類名是不是很眼熟，看上面那張我貼了三遍的圖，大部分都在這裡面呢。

看來AccessControlFilter這個類是跟Shiro許可權過濾密切相關的，那麼先看看它的體繫結構：

它的頂級父類是javax.servlet.Filter，前面我們也說過，Shiro中所有的許可權過濾都是基於Filter來實現的。自定義Filter同樣需要實現AccessControlFilter，這裡我們添加一個登錄驗證過濾器，代碼如下：

public class AuthLoginFilter extends AccessControlFilter {
    // 未登錄登陸返狀態回碼
    private int code;
    // 未登錄登陸返提示信息
    private String message;
    public AuthLoginFilter(int code, String message) {
        this.code = code;
        this.message = message;
    }
    @Override
    protected boolean isAccessAllowed(ServletRequest servletRequest, ServletResponse servletResponse,
                                      Object mappedValue) throws Exception {
        Subject subject = SecurityUtils.getSubject();
        // 這裡配合APP需求我只需要做登錄檢測即可
        if (subject != null && subject.isAuthenticated()) {
            // TODO 登錄檢測通過，這裡可以添加一些自定義操作
            return Boolean.TRUE;
        }
        // 登錄檢測失敗返貨False後會進入下麵的onAccessDenied()方法
        return Boolean.FALSE;
    }
    @Override
    protected boolean onAccessDenied(ServletRequest servletRequest, 
                                     ServletResponse servletResponse) throws Exception {
        PrintWriter out = null;
        try {
            // 這裡就很簡單了，向Response中寫入Json響應數據，需要聲明ContentType及編碼格式
            servletResponse.setCharacterEncoding("UTF-8");
            servletResponse.setContentType("application/json; charset=utf-8");
            out = servletResponse.getWriter();
            out.write(JSONObject.toJSONString(R.error(code, message)));
        } catch (IOException e) {
            e.printStackTrace();
        } finally {
            if (out != null) {
                out.close();
            }
        }
        return Boolean.FALSE;
    }
}

自定義過濾器寫好了，現在需要把它交給Shiro管理：

@Bean
public ShiroFilterFactoryBean shiroFilterFactoryBean(SecurityManager securityManager) {
    ShiroFilterFactoryBean shiroFilterFactoryBean = new ShiroFilterFactoryBean();
    shiroFilterFactoryBean.setSecurityManager(securityManager);
    // 添加登錄過濾器
    Map<String, Filter> filters = new LinkedHashMap<>();
    // 這裡註釋的一行是我這次踩的一個小坑，我一開始按下麵這麼配置產生一個我意料之外的問題
    // filters.put("authLogin", authLoginFilter());
    // 正確的配置是需要我們自己new出來，不能將這個Filter交給Spring管理，後面會說明
    filters.put("authLogin", new AuthLoginFilter(500, "未登錄或登錄超時"));
    shiroFilterFactoryBean.setFilters(filters);
    // 設置過濾規則
    Map<String, String> filterMap = new LinkedHashMap<>();
    filterMap.put("/api/login", "anon");
    filterMap.put("/api/**", "authLogin");
    shiroFilterFactoryBean.setFilterChainDefinitionMap(filterMap);
    return shiroFilterFactoryBean;
}

如此Shiro添加自定義過濾器就完成了。自定義的Filter可以添加多個以實現不同的需求，你僅僅需要在filters中將過濾器起好名字put進去，併在filterChainMap中添加過濾器別名和路徑的映射就可以使用這個過濾器了。需要註意的一點就是過濾器是從前往後順序匹配的，所以要把範圍大的路徑放在後面put進去。

到這裡自定義Filter功能已經實現了，後面是採坑排查記錄，不感興趣可以跳過。

問題排查

前半段介紹瞭如何使用Shiro的自定義Filter功能實現過濾，在Shiro配置代碼中我提了一句這次配置踩的一個小坑，如果我們將自定義的Filter交給Spring管理，會產生一些意料之外的問題。確實，通常在Spring項目中做配置時，我們都預設將Bean交由Spring管理，一般不會有什麼問題，但是這次不一樣，先看代碼如下：

public ShiroFilterFactoryBean shiroFilterFactoryBean(SecurityManager securityManager) {
    ...
    filters.put("authLogin", authLoginFilter());
    ...
    filterMap.put("/api/login", "anon");
    filterMap.put("/api/**", "authLogin");
    ...
}
@Bean
public AuthLoginFilter authLoginFilter() {
    return new AuthLoginFilter(500, "未登錄或登錄超時");
}

這樣配置後造成的現象是：無論前面的過濾器是否放行，最終都會走到自定義的AuthLoginFilter過濾器。

比如上面的配置，我們訪問/api/login正常來講會被anon匹配到AnonymousFilter中，這裡是什麼都沒做直接放行的，但是放行後還會繼續走到AuthLoginFilter中，怎麼會這樣，說好的按順序匹配呢，怎麼不按套路出牌。

打斷點一路往上追溯，我們找到了ApplicationFilterChain這裡，它是Tomcat所實現的一個Java Servlet API的規範。所有的請求都必須通過filters里的過濾器層層過濾後才會調用Servlet中的方法service()方法。這裡包括Spring中的各種過濾器，全部都是註冊到這裡來的。

前面的四個Filter都是Spring的，第五個是Shiro的ShiroFilterFactoryBean，它的內部也維護了一個filters，用來保存Shiro內置的一些過濾器和我們自定義的過濾器，Tomcat所維護的filters和Shiro維護的filters是一個父子層級的關係，Shiro中的ShiroFilterFactoryBean僅僅只是Tomcat里filters中的一員。點開看ShiroFilterFactoryBean查看，果然Shiro內置的一些過濾器全都按順序排著呢，我們自定義的AuthLoginFilter在最後一個。

但是，再看看Tomcat中的第六個過濾器，居然也是我們自定義的AuthLoginFilter，它同時出現在Tomcat和Shiro的filters中，這樣也就造成了前面提到的問題，Shiro在匹配到anon之後確實會將請求放行，但是在外層Tomcat的Filter中依舊被匹配上了，造成的現象好像是Shiro的Filter配置規則失效了，其實這個問題跟Shiro並沒有關係。

問題的根源找到了，想要解決這個問題必須找到這個自定義的Filter何時被添加到Tomcat的過濾器執行鏈中以及其原因。

追根溯源

關於這個問題我找到了ServletContextInitializerBeans這個類中，它在Spring啟動時就會初始化，在它的構造方法中做了很多初始化相關的操作。至於這一系列初始化流程就不得不提ServletContextInitializer相關知識點了，關於它的內容完全可以另開一片博客細說了。先看看ServletContextInitializerBeans的構造方法：

@SafeVarargs
public ServletContextInitializerBeans(ListableBeanFactory beanFactory,
        Class<? extends ServletContextInitializer>... initializerTypes) {
    this.initializers = new LinkedMultiValueMap<>();
    this.initializerTypes = (initializerTypes.length != 0) ? Arrays.asList(initializerTypes)
            : Collections.singletonList(ServletContextInitializer.class);
    // 上面提到的Filter正是在這個方法開始一步步被添加到ApplicationFilterChain中的
    addServletContextInitializerBeans(beanFactory);
    addAdaptableBeans(beanFactory);
    List<ServletContextInitializer> sortedInitializers = this.initializers.values().stream()
            .flatMap((value) -> value.stream().sorted(AnnotationAwareOrderComparator.INSTANCE))
            .collect(Collectors.toList());
    this.sortedList = Collections.unmodifiableList(sortedInitializers);
    logMappings(this.initializers);
}

上面提到的ApplicationFilterChain中的Filter正是在addServletContextInitializerBeans(beanFactory)這個方法開始一步步被添加到Filters中的，限於篇幅這裡就看一下關鍵步驟。

private void addServletContextInitializerBeans(ListableBeanFactory beanFactory) {
    for (Class<? extends ServletContextInitializer> initializerType : this.initializerTypes) {
        for (Entry<String, ? extends ServletContextInitializer> initializerBean : 
                // 這裡根據type獲取Bean列表並遍歷
                getOrderedBeansOfType(beanFactory, initializerType)) {
            // 此處開始添加對應的ServletContextInitializer
            addServletContextInitializerBean(initializerBean.getKey(), initializerBean.getValue(), beanFactory);
        }
    }
}

addServletContextInitializerBeans(beanFactory)一路走下去會到達getOrderedBeansOfType()方法中，然後調用了beanFactory的getBeanNamesForType()，預設的實現在DefaultListableBeanFactory中，這裡所貼前後刪減掉了無關代碼：

private String[] doGetBeanNamesForType(ResolvableType type, boolean includeNonSingletons, boolean allowEagerInit) {
    List<String> result = new ArrayList<>();
    // 檢查所有的Bean
    for (String beanName : this.beanDefinitionNames) {
        // 當這個Bean名稱沒有定義為其他bean的別名時，才進行匹配
        if (!isAlias(beanName)) {
            RootBeanDefinition mbd = getMergedLocalBeanDefinition(beanName);
            // 檢查Bean的完整性，檢測是否是抽象類，是否懶載入等等屬性
            if (!mbd.isAbstract() && (allowEagerInit || (mbd.hasBeanClass() || !mbd.isLazyInit() || 
                    isAllowEagerClassLoading()) && !requiresEagerInitForType(mbd.getFactoryBeanName()))) {
                // 匹配的Bean是否是FactoryBean，對於FactoryBean，需要匹配它創建的對象
                boolean isFactoryBean = isFactoryBean(beanName, mbd);
                BeanDefinitionHolder dbd = mbd.getDecoratedDefinition();
                // 這裡也是做完整性檢查
                boolean matchFound = (allowEagerInit || !isFactoryBean || (dbd != null && !mbd.isLazyInit())
                    || containsSingleton(beanName)) && (includeNonSingletons || 
                    (dbd != null ? mbd.isSingleton() : isSingleton(beanName))) && isTypeMatch(beanName, type);
                if (!matchFound && isFactoryBean) {
                    // 對於FactoryBean，接下來嘗試匹配FactoryBean實例本身
                    beanName = FACTORY_BEAN_PREFIX + beanName;
                    matchFound = (includeNonSingletons || mbd.isSingleton()) && isTypeMatch(beanName, type);
                }
                if (matchFound) {
                    result.add(beanName);
                }
            }
        }
    }
    return StringUtils.toStringArray(result);
}

到這裡就是關鍵所在了，它會根據目標類型調用isTypeMatch(beanName, type)匹配每一個被Spring接管的Bean，isTypeMatch方法很長，這裡就不貼了，有興趣的可以自行去看看，它位於AbstractBeanFactory中。這裡匹配的type就是ServletContextInitializerBeans遍歷自構造方法中的initializerTypes列表。

從doGetBeanNamesForType出來後，再看這個方法：

private void addServletContextInitializerBean(String beanName,
        ServletContextInitializer initializer, ListableBeanFactory beanFactory) {
    if (initializer instanceof ServletRegistrationBean) {
        Servlet source = ((ServletRegistrationBean<?>) initializer).getServlet();
        addServletContextInitializerBean(Servlet.class, beanName, initializer,
                beanFactory, source);
    }
    else if (initializer instanceof FilterRegistrationBean) {
        Filter source = ((FilterRegistrationBean<?>) initializer).getFilter();
        addServletContextInitializerBean(Filter.class, beanName, initializer,
                beanFactory, source);
    }
    else if (initializer instanceof DelegatingFilterProxyRegistrationBean) {
        String source = ((DelegatingFilterProxyRegistrationBean) initializer)
                .getTargetBeanName();
        addServletContextInitializerBean(Filter.class, beanName, initializer,
                beanFactory, source);
    }
    else if (initializer instanceof ServletListenerRegistrationBean) {
        EventListener source = ((ServletListenerRegistrationBean<?>) initializer)
                .getListener();
        addServletContextInitializerBean(EventListener.class, beanName, initializer,
                beanFactory, source);
    }
    else {
        addServletContextInitializerBean(ServletContextInitializer.class, beanName,
                initializer, beanFactory, initializer);
    }
}

前面兩個配置過Filter和Servlet的應該很熟悉，Spring中添加自定義Filter經常這麼用，添加Servlet同理：

@Bean
public FilterRegistrationBean xssFilterRegistration() {
    FilterRegistrationBean registration = new FilterRegistrationBean();
    registration.setDispatcherTypes(DispatcherType.REQUEST);
    registration.setFilter(new XxxFilter());
    registration.addUrlPatterns("/*");
    registration.setName("xxxFilter");
    return registration;
}

這樣Spring就會將其添加到過濾器執行鏈中，當然這隻是添加Filter的眾多方式之一。

解決方案

那麼問題的根源找到了，被Spring接管的Bean中所有的Filter都會被添加到ApplicationFilterChain，那我不讓Spring接管我的AuthLoginFilter不就行了。如何做？配置的時候直接new出來，還記得前面的那兩行代碼嗎：

// 這裡註釋的一行是我這次踩的一個小坑，我一開始按下麵這麼配置產生了一個我意料之外的問題
// filters.put("authLogin", authLoginFilter());
// 正確的配置是需要我們自己new出來，不能將這個Filter交給Spring管理
filters.put("authLogin", new AuthLoginFilter(500, "未登錄或登錄超時"));

OK，問題解決，就是這麼簡單。但就是這麼小小的一個問題，在不清楚問題產生的原因的情況下，根本想不到是Spring接管Filter造成的，瞭解了底層，才能更好的排查問題。

尾巴

  • Shiro中自定義Filter僅需要繼承AccessControlFilter類後實現參與過濾的兩個方法，再將其配置到ShiroFilterFactoryBean中即可。
  • 需要註意的點是，因為Spring的初始化機制，我們自定義的Filter如果被Spring接管，那麼會被Spring添加到ApplicationFilterChain中，導致這個自定義過濾器會被重覆執行，也就是無論Shiro中的過濾器過濾結果如何，最後依舊會走到被添加到ApplicationFilterChain中的自定義過濾器。
  • 解決這個問題的方法非常簡單，不讓Spring接管我們的Filter，直接new出來配置到Shiro中即可。
  • 碼海無涯，不進則退，日積跬步，以至千里。

Shiro系列博客項目源代碼地址：

Gitee：https://gitee.com/guitu18/ShiroDemo

GitHub：https://github.com/guitu18/ShiroDemo


您的分享是我們最大的動力!

-Advertisement-
Play Games
更多相關文章
  • 入門訓練 序列求和
    問題描述 求1+2+3+...+n的值。 輸入格式 輸入包括一個整數n。 輸出格式 輸出一行，包括一個整數，表示1+2+3+...+n的值。 樣例輸入 4 樣例輸出 10 樣例輸入 100 說明：有一些試題會給出多組樣例輸入輸出以幫助你更好的做題。 一般在提交之前所有這些樣例都需要測試通過才行，但這 ...
  • Java比較器介面Comparable和Comparator
    一、為什麼會使用比較 在Java中經常會涉及到對象數組的排序問題，那麼就涉及到對象之間的比較問題， 說明：Java中的對象，正常情況下，只能進行比較：== 或 != 。不能使用 > 或 < 的 但是在開發場景中，我們需要對多個對象進行排序，言外之意，就需要比較對象的大小。 如何實現？使用兩個介面中的 ...
  • 關於分散式系統中雷同集群技術及原理，你知道多少？
    寫在前面 在當今信息爆炸的時代，單台電腦已經無法負載日益增長的業務發展，雖然也有性能強大的超級電腦，但是這種高端機不僅費用高昂，也不靈活，一般的企業是負擔不起的，而且也損失不起，那麼將一群廉價的普通電腦組合起來，讓它們協同工作就像一臺超級電腦一樣地對外提供服務，就成了順其自然的設想，但是這又 ...
  • java百貨中心供應鏈管理系統 源碼
    開發環境: Windows操作系統開發工具：MyEclipse/Eclipse + JDK+ Tomcat + MySQL 資料庫百貨中心供應鏈管理系統主要用於實現了企業管理數據統計等。本系統結構如下：（1）管理界面： 登錄模塊：實現管理員登錄功能； 合作公司管理模塊：實現合作公司信息的增加、修改、 ...
  • java中LinkedList源碼分析
    ArrayList是動態數組，其實本質就是對數組的操作。那麼LinkedList實現原理和ArrayList是完全不一樣的。現在就來分析一下ArrayList和LinkeList的優劣吧LinkedList是一個雙向鏈表，每個元素都是一個Node對象,這個node對象裡面有三個成員： E item; ...
  • Python屬性和內建屬性
    屬性property 1. 私有屬性添加getter和setter方法 2. 使用property升級getter和setter方法 運行結果: 3. 使用property取代getter和setter方法 @property成為屬性函數，可以對屬性賦值時做必要的檢查，並保證代碼的清晰短小，主要有2 ...
  • Python模塊進階、標準庫、擴展庫
    模塊進階 Python有一套很有用的標準庫(standard library)。標準庫會隨著Python解釋器，一起安裝在你的電腦中的。 它是Python的一個組成部分。這些標準庫是Python為你準備好的利器，可以讓編程事半功倍。 用標準庫 hashlib 應用實例 用於註冊、登錄.... 運行結 ...
  • 對python中元類的理解
    1. 類也是對象 在大多數編程語言中，類就是一組用來描述如何生成一個對象的代碼段。在Python中這一點仍然成立： 但是，Python中的類還遠不止如此。類同樣也是一種對象。是的，沒錯，就是對象。只要你使用關鍵字class，Python解釋器在執行的時候就會創建一個對象。 下麵的代碼段： 將在記憶體中 ...
一周排行
    -Advertisement-
    Play Games
  • 移動開發（一）：使用.NET MAUI開發第一個安卓APP
    移動開發（一）：使用.NET MAUI開發第一個安卓APP 對於工作多年的C#程式員來說，近來想嘗試開發一款安卓APP，考慮了很久最終選擇使用.NET MAUI這個微軟官方的框架來嘗試體驗開發安卓APP，畢竟是使用Visual Studio開發工具，使用起來也比較的順手，結合微軟官方的教程進行了安卓 ...
  • wpf ToggleButton選中效果和一個登錄界面
    前言 QuestPDF 是一個開源 .NET 庫，用於生成 PDF 文檔。使用了C# Fluent API方式可簡化開發、減少錯誤並提高工作效率。利用它可以輕鬆生成 PDF 報告、發票、導出文件等。 項目介紹 QuestPDF 是一個革命性的開源 .NET 庫，它徹底改變了我們生成 PDF 文檔的方 ...
  • 彈幕樹洞項目功能新增篇
    項目地址 項目後端地址： https://github.com/ZyPLJ/ZYTteeHole 項目前端頁面地址： ZyPLJ/TreeHoleVue (github.com) https://github.com/ZyPLJ/TreeHoleVue 目前項目測試訪問地址： http://tree ...
  • 第27篇 sqlserver2022詳細安裝步驟
    話不多說，直接開乾 一.下載 1.官方鏈接下載： https://www.microsoft.com/zh-cn/sql-server/sql-server-downloads 2.在下載目錄中找到下麵這個小的安裝包 SQL2022-SSEI-Dev.exe，運行開始下載SQL server； 二. ...
  • .NET 開源高性能 MQTT 類庫
    前言 隨著物聯網（IoT）技術的迅猛發展，MQTT（消息隊列遙測傳輸）協議憑藉其輕量級和高效性，已成為眾多物聯網應用的首選通信標準。 MQTTnet 作為一個高性能的 .NET 開源庫，為 .NET 平臺上的 MQTT 客戶端與伺服器開發提供了強大的支持。 本文將全面介紹 MQTTnet 的核心功能 ...
  • Serilog文檔翻譯系列（六） - 可用的接收器、增強器、格式化輸出
    Serilog支持多種接收器用於日誌存儲，增強器用於添加屬性，LogContext管理動態屬性，支持多種輸出格式包括純文本、JSON及ExpressionTemplate。還提供了自定義格式化選項，適用於不同需求。 ...
  • 警惕 Visual Studio 屬性求值副作用導致邏輯不符合預期
    目錄簡介獲取 HTML 文檔解析 HTML 文檔測試參考文章 簡介 動態內容網站使用 JavaScript 腳本動態檢索和渲染數據，爬取信息時需要模擬瀏覽器行為，否則獲取到的源碼基本是空的。 本文使用的爬取步驟如下： 使用 Selenium 獲取渲染後的 HTML 文檔 使用 HtmlAgility ...
  • [使用目前最新版]HybridCLR6.9.0+YooAsset2.2.4實現純C# Unity熱更新方案 (一)
    1.前言 什麼是熱更新 游戲或者軟體更新時，無需重新下載客戶端進行安裝，而是在應用程式啟動的情況下，在內部進行資源或者代碼更新 Unity目前常用熱更新解決方案 HybridCLR，Xlua，ILRuntime等 Unity目前常用資源管理解決方案 AssetBundles，Addressable， ...
  • 在 ASP.NET Core Web API 中使用操作篩選器統一處理通用操作
    本文章主要是在C# ASP.NET Core Web API框架實現向手機發送驗證碼簡訊功能。這裡我選擇是一個互億無線簡訊驗證碼平臺，其實像阿裡雲，騰訊雲上面也可以。 首先我們先去 互億無線 https://www.ihuyi.com/api/sms.html 去註冊一個賬號 註冊完成賬號後，它會送 ...
  • 第28篇 如何.net中實現高效可靠數據同步api
    通過以下方式可以高效，並保證數據同步的可靠性 1.API設計 使用RESTful設計，確保API端點明確，並使用適當的HTTP方法（如POST用於創建，PUT用於更新）。 設計清晰的請求和響應模型，以確保客戶端能夠理解預期格式。 2.數據驗證 在伺服器端進行嚴格的數據驗證，確保接收到的數據符合預期格 ...
所有分類