上一個章節我們學習瞭如何自定義自己的filter,這個只是為了這一章打基礎;相信我們這一群shiro使用者比較關注非同步請求認證失敗會如何處理這個問題,確實我們現在的專案很大一部分請求都是非同步的,所以這個問題是無可避免,我看了網上很多資料都是沒有完整地給出擴充套件方案,下面我把自己的處理方案給展示下,如有不爽,請勿跨省,家無水錶,不收快遞...

直接進入主題,先看看我們之前的配置,自定義一個RoleAuthorizationFilter

<!-- 過濾鏈配置 -->
	<bean id="shiroFilter" class="org.apache.shiro.spring.web.ShiroFilterFactoryBean">
		<property name="securityManager" ref="securityManager" />
		<property name="loginUrl" value="/" />
		<property name="successUrl" value="/cms/index.do" />
		<property name="unauthorizedUrl" value="/" />
		<property name="filters">
			<map>
				<entry key="role">
					<bean
						class="com.silvery.security.shiro.filter.RoleAuthorizationFilter" />
				</entry>
				<entry key="authc">
					<bean
						class="com.silvery.security.shiro.filter.SimpleFormAuthenticationFilter" />
				</entry>
			</map>
		</property>
	</bean>

	<!-- 許可權資源配置 -->
	<bean id="filterChainDefinitionsService"
		class="com.silvery.security.shiro.service.impl.SimpleFilterChainDefinitionsService">
		<property name="definitions">
			<value>
				/static/** = anon
				/admin/user/login.do = anon
				/test/** = role[admin]
				/abc/** = authc
			</value>
		</property>
	</bean>
 

public class RoleAuthorizationFilter extends AuthorizationFilter {

	public boolean isAccessAllowed(ServletRequest request, ServletResponse response, Object mappedValue)
			throws IOException {

		Subject subject = getSubject(request, response);
		String[] rolesArray = (String[]) mappedValue;

		if (rolesArray == null || rolesArray.length == 0) {
			// no roles specified, so nothing to check - allow access.
			return true;
		}

		Set<String> roles = CollectionUtils.asSet(rolesArray);
		for (String role : roles) {
			if (subject.hasRole(role)) {
				return true;
			}
		}
		return false;
	}

}
 

我們先看看這個原始碼,發現是繼承了AuthorizationFilter類,然後只重寫了isAccessAllowed方法,然後我們就想isAccessAllowed是判斷是否擁有許可權,那肯定會有一個方法是認證失敗回撥的方法,這是框架一貫的做法,來驗證下我們的想當然是不是正確的,我們開啟AuthorizationFilter類的原始碼看看

public abstract class AuthorizationFilter extends AccessControlFilter
{

    public AuthorizationFilter()
    {
    }

    public String getUnauthorizedUrl()
    {
        return unauthorizedUrl;
    }

    public void setUnauthorizedUrl(String unauthorizedUrl)
    {
        this.unauthorizedUrl = unauthorizedUrl;
    }

    protected boolean onAccessDenied(ServletRequest request, ServletResponse response)
        throws IOException
    {
        Subject subject = getSubject(request, response);
        if(subject.getPrincipal() == null)
        {
            saveRequestAndRedirectToLogin(request, response);
        } else
        {
            String unauthorizedUrl = getUnauthorizedUrl();
            if(StringUtils.hasText(unauthorizedUrl))
                WebUtils.issueRedirect(request, response, unauthorizedUrl);
            else
                WebUtils.toHttp(response).sendError(401);
        }
        return false;
    }

    private String unauthorizedUrl;
}
 

看到原始碼的時候我就很開心地賤笑了,果然是我想的那樣,我們很明顯地看到一個方法onAccessDenied,認證失敗處理,邏輯就是如果登入實體為null就儲存請求和跳轉登入頁面,否則就跳轉無許可權配置頁面

我們開始動手改造這個方法,把這個方法也在我們自己的RoleAuthorizationFilter裡重寫下

/**
 * 
 * 1.自定義角色鑑權過濾器(滿足其中一個角色則認證通過) 2.擴充套件非同步請求認證提示功能;
 * 
 * @author shadow
 * 
 */
public class RoleAuthorizationFilter extends AuthorizationFilter {

	protected boolean onAccessDenied(ServletRequest request, ServletResponse response) throws IOException {

		HttpServletRequest httpRequest = (HttpServletRequest) request;
		HttpServletResponse httpResponse = (HttpServletResponse) response;

		Subject subject = getSubject(request, response);

		if (subject.getPrincipal() == null) {
			if (com.silvery.utils.WebUtils.isAjax(httpRequest)) {
				com.silvery.utils.WebUtils.sendJson(httpResponse, JsonUtils.toJSONString(new ViewResult(false,
						"您尚未登入或登入時間過長,請重新登入!")));
			} else {
				saveRequestAndRedirectToLogin(request, response);
			}
		} else {
			if (com.silvery.utils.WebUtils.isAjax(httpRequest)) {
				com.silvery.utils.WebUtils.sendJson(httpResponse, JsonUtils.toJSONString(new ViewResult(false,
						"您沒有足夠的許可權執行該操作!")));
			} else {
				String unauthorizedUrl = getUnauthorizedUrl();
				if (StringUtils.hasText(unauthorizedUrl)) {
					WebUtils.issueRedirect(request, response, unauthorizedUrl);
				} else {
					WebUtils.toHttp(response).sendError(401);
				}
			}
		}
		return false;
	}

	public boolean isAccessAllowed(ServletRequest request, ServletResponse response, Object mappedValue)
			throws IOException {

		Subject subject = getSubject(request, response);
		String[] rolesArray = (String[]) mappedValue;

		if (rolesArray == null || rolesArray.length == 0) {
			// no roles specified, so nothing to check - allow access.
			return true;
		}

		Set<String> roles = CollectionUtils.asSet(rolesArray);
		for (String role : roles) {
			if (subject.hasRole(role)) {
				return true;
			}
		}
		return false;
	}

}

其實改造也很簡單,只是再加一層ajax的判斷,至於如何判斷ajax就是自己個人的方式,有的專案喜歡加一個標識引數,有的人喜歡直接用header裡面的X-Requested-With引數,這個看自己的需求咯,我個人喜歡是ajax請求認證失敗是返回一串標準的json格式字串,頁面相容處理也方便

下面我們測試下如何效果,先寫一個html,配置/test/a.do是不夠許可權請求的

<!DOCTYPE html PUBLIC "-//W3C//DTD XHTML 1.0 Strict//EN" "http://www.w3.org/TR/xhtml1/DTD/xhtml1-strict.dtd">
<html xmlns="http://www.w3.org/1999/xhtml">
	<head>
		<meta http-equiv="Content-Type" content="text/html; charset=UTF-8"/>
		<title>test ajax request</title>
	<script type="text/javascript" src="/static/plugin/jquery/core.js"></script>
	<script>
		function test(){
			$.post('/test/a.do','',function(result){
				alert(result);
			});
		}
	</script>
	</head>
<body>
	<input type="button" value="click" onclick="test();" />
</body>
</html>

html寫完,就跑起專案,然後先別登入系統,直接開啟html點選下這個按鈕,發現alert提示{"message":"您尚未登入或登入時間過長,請重新登入!","success":false,"value":null};

然後再登入系統,再點選這個按鈕請求一次看看發現alert提示{"message":"您沒有足夠的許可權執行該操作!","success":false,"value":null};很明顯尚未登入和許可權不足的ajax時候提示都完美地出現,然後這章節我就可以功成身退了

最後總結下擴充套件方案,其實shiro的所有filter都是有統一的介面方法,你們可以看看這真實過濾器都是繼承了相同的父級filter,所以其他的filter也可以通過繼承重寫onAccessDenied方法提供我們的非同步請求分支處理

歡迎拍磚...