【Shiro-流程】java安全框架&cas单点登录

<!-- 用户访问未对其授权的资源时,所显示的连接 -->

<property name="unauthorizedUrl" value="/logins"></property>

<!-- 登录时的链接 -->

<property name="loginUrl" value="/logins?p=loginUrl"></property>

<!-- authc：该过滤器下的页面必须验证后才能访问,它是Shiro内置的一个拦截器org.apache.shiro.web.filter.authc.FormAuthenticationFilter -->

<!-- 访问 /member/queryMyUserInfo路径需要进行身份认证，并且只有当用户的角色为"member"且权限为"member:delete"时才可以访问该路径 

/member/queryMyUserInfo=authc,roles[member],perms[member:delete] -->

1.获取用户名，密码，存放至shiro结构中



		/** 登陆校验，存放容器shiro */

		// 根据获取的用户名和密码封装成Token

		UsernamePasswordToken token = new UsernamePasswordToken(username, password);

		// 是否记住用户

		token.setRememberMe(true);

		// 获取当前的subject

		Subject subject = SecurityUtils.getSubject();

System.out.println("对用户：[" + username + "]进行登录验证,验证开始...");

// 在调用了login方法后,SecurityManager会收到AuthenticationToken,并将其发送给已配置的Realm执行必须的认证检查

// 每个Realm都能在必要时对提交的AuthenticationTokens作出反应

// 所以这一步在调用login(token)方法时,它会走到MyRealm.doGetAuthenticationInfo()方法中,具体验证方式详见此方法

subject.login(token);

System.out.println("对用户：[" + username + "]进行登录验证,验证通过!");

subject.login(token);

System.out.println("对用户：[" + username + "]进行登录验证,验证通过!");

returnUrl = "redirect:/home";

为什么能进入login.do控制器

因为配置了免过滤 /login.do=anon

<!-- 用户访问未对其授权的资源时,所显示的连接 -->

<property name="unauthorizedUrl" value="http://localhost:8280/cas/login?service=http://localhost:8180/manage/shiro-cas"></property>

<!--访问client1 时，如果未通过cas认证将会跳转到认证中心，通过得跳转到下面配置的successUrl 里的地址 -->

<property name="loginUrl" value="http://localhost:8280/cas/login?service=http://localhost:8180/manage/shiro-cas" />

<!-- authc：该过滤器下的页面必须验证后才能访问,它是Shiro内置的一个拦截器org.apache.shiro.web.filter.authc.FormAuthenticationFilter -->

<!-- 访问 /member/queryMyUserInfo路径需要进行身份认证，并且只有当用户的角色为"member"且权限为"member:delete"时才可以访问该路径 

/member/queryMyUserInfo=authc,roles[member],perms[member:delete] -->

<!-- 登录成功后跳转到的链接 -->

<property name="successUrl" value="/home"></property>

<bean id="casFilter" class="org.apache.shiro.cas.CasFilter">

	    <property name="failureUrl" value="http://localhost:8280/cas/login?service=http://localhost:8180/manage/shiro-cas" />

	</bean>

1.过滤器拦截

shiroFilter-filterChainDefinitions

/** = authc

2.拦截处理（去向）,安全管理器

shiroFilter-securityManager



3.

去向一：本地shiro

去向二：远端cas



<context-param>

	<param-name>contextConfigLocation</param-name>

	<param-value>

		/WEB-INF/spring/basicContext.xml,

		/WEB-INF/spring/applicationContext-shiro.xml

		<!--  /WEB-INF/spring/applicationContext-shiro-cas.xml -->

	</param-value>

</context-param>

<!-- dataSource@wosai -->

    <bean id="dataSource"  

      class="com.mchange.v2.c3p0.ComboPooledDataSource"  

      p:driverClass="com.mysql.jdbc.Driver"

      p:jdbcUrl="jdbc:mysql://192.168.3.198:3306/teach_platform?useUnicode=true&amp;characterEncoding=UTF-8&amp;zeroDateTimeBehavior=convertToNull"

      p:user="root"  

      p:password="" />

// shiro 登出

		Subject subjects = SecurityUtils.getSubject();

		subjects.logout();

<!-- 登录成功后跳转到的链接 -->

<property name="successUrl" value="/home"></property>

1.获得登陆名等信息

2.配合业务，可能需要将登陆信息记录到session中

3.核对令牌，不一致则走异常分支



注：如果无需获得登录名，可直接使用shiro-cas-1.2.4.jar包中的CasRealm接受安全控制

1.获得登陆名等信息

2.配合业务，可能需要将登陆信息记录到session中

3.核对令牌，不一致则走异常分支



注：如果无需获得登录名，可直接使用shiro-cas-1.2.4.jar包中的CasRealm接受安全控制