springboot集成shiro遭遇自定义filter异常的解决

下面我来详细讲解“springboot集成shiro遭遇自定义filter异常的解决”的完整攻略。

背景介绍

在Spring Boot应用中使用Shiro框架实现权限控制时，我们经常需要自定义过滤器(Filter)来实现一些业务需求，例如鉴权、登录、日志记录等。但有时候我们会发现，自定义的过滤器可能会导致Shiro框架出现异常，这个时候我们该怎么办呢？

下面我将介绍一些解决方法以及示例说明。

解决方法

方法一：使用Shiro的过滤器Chain

在自定义过滤器时，可以使用Shiro的过滤器Chain来实现过滤器链的顺序管理，避免过滤器的执行顺序出错。以下是示例代码：

@Bean
public ShiroFilterFactoryBean shiroFilter(SecurityManager securityManager) {
    ShiroFilterFactoryBean filterFactoryBean = new ShiroFilterFactoryBean();
    filterFactoryBean.setSecurityManager(securityManager);
    // 自定义过滤器
    Map<String, Filter> filterMap = new HashMap<>();
    filterMap.put("myFilter", new MyFilter());
    filterFactoryBean.setFilters(filterMap);
    // 配置过滤器链
    Map<String, String> chainDefinitionMap = new LinkedHashMap<>();
    chainDefinitionMap.put("/login", "anon");
    chainDefinitionMap.put("/logout", "logout");
    chainDefinitionMap.put("/**", "myFilter,authc");
    filterFactoryBean.setFilterChainDefinitionMap(chainDefinitionMap);
    return filterFactoryBean;
}

在上述代码中，我们使用Shiro的过滤器Chain来管理过滤器的执行顺序。chainDefinitionMap.put("/**", "myFilter,authc")表示在所有的请求中，先执行自定义的过滤器(MyFilter)，再执行认证过滤器(authc)。

方法二：设置过滤器执行顺序

如果不想使用Shiro的过滤器Chain，也可以直接设置过滤器的执行顺序。

例如，我们设置MyFilter在执行时排在authc之前：

@Bean
public ShiroFilterFactoryBean shiroFilter(SecurityManager securityManager) {
    ShiroFilterFactoryBean filterFactoryBean = new ShiroFilterFactoryBean();
    filterFactoryBean.setSecurityManager(securityManager);
    // 自定义过滤器
    Map<String, Filter> filterMap = new HashMap<>();
    filterMap.put("myFilter", new MyFilter());
    filterFactoryBean.setFilters(filterMap);
    // 配置过滤器链
    Map<String, String> chainDefinitionMap = new LinkedHashMap<>();
    chainDefinitionMap.put("/login", "anon");
    chainDefinitionMap.put("/logout", "logout");
    chainDefinitionMap.put("/**", "authc,myFilter");
    filterFactoryBean.setFilterChainDefinitionMap(chainDefinitionMap);
    return filterFactoryBean;
}

在上述代码中，我们将"authc"过滤器排在"myFilter"过滤器之前，这样就可以保证MyFilter的执行顺序正确。

示例说明

示例一：自定义登录过滤器

我们可以在过滤器中判断用户是否登录，如果没有登录则跳转至登录页面。以下是示例代码：

public class LoginFilter extends AccessControlFilter {

    @Override
    protected boolean isAccessAllowed(ServletRequest request, ServletResponse response, Object mappedValue) throws Exception {
        Subject subject = SecurityUtils.getSubject();
        return subject.isAuthenticated();
    }

    @Override
    protected boolean onAccessDenied(ServletRequest request, ServletResponse response) throws Exception {
        WebUtils.saveRequest(request);
        WebUtils.issueRedirect(request, response, "/login");
        return false;
    }
}

在上述代码中，我们继承了Shiro的AccessControlFilter类并重载了isAccessAllowed和onAccessDenied方法来实现登录过滤器。isAccessAllowed方法用于判断用户是否已经登录，onAccessDenied方法用于处理用户没有登录的情况。

示例二：自定义鉴权过滤器

我们可以在过滤器中判断用户是否有权限访问某个资源，如果没有则返回未授权错误。以下是示例代码：

public class AuthzFilter extends AuthorizationFilter {

    @Override
    protected boolean isAccessAllowed(ServletRequest request, ServletResponse response, Object mappedValue) throws Exception {
        Subject subject = SecurityUtils.getSubject();
        String[] perms = (String[]) mappedValue;
        if (perms != null && perms.length > 0) {
            for (String perm : perms) {
                if (!subject.isPermitted(perm)) {
                    return false;
                }
            }
        }
        return true;
    }

    @Override
    protected boolean onAccessDenied(ServletRequest request, ServletResponse response) throws Exception {
        HttpServletResponse httpServletResponse = (HttpServletResponse) response;
        httpServletResponse.setStatus(HttpStatus.UNAUTHORIZED.value());
        return false;
    }
}

在上述代码中，我们继承了Shiro的AuthorizationFilter类并重载了isAccessAllowed和onAccessDenied方法来实现鉴权过滤器。isAccessAllowed方法用于判断用户是否具有访问某个资源的权限，onAccessDenied方法用于返回未授权错误。