Shiro User Manual-Integrating Into Spring

阅读更多

1. Overview
Shiro的JavaBeans兼容性使其可以很容易的配置在Spring XML或其他基于Spring的配置。Shiro需要应用级的SecurityManager单例。注意，它不需要是静态单例，只要保证在应用中存在一个SecurityManager实例即可。

2. Standalone Applications
在Spring应用中配置应用级SecurityManager单例：

...



    
    







    
    

3. Web Applications
Shiro支持Spring的web应用。在web应用中，所有Shiro可以访问的请求，都要经过主过滤器。这个主过滤器允许基于URL路径表达式，进行自主定义过滤器链。
下面是基于Spring web应用中配置Shiro：
a. web.xml
除了需要在web.xml中定义Spring元素（ContextLoaderListener, Log4jConfigListener等），还需要定义如下的过滤器：

    shiroFilter
    org.springframework.web.filter.DelegatingFilterProxy
    
        targetFilterLifecycle
        true
    


...





    shiroFilter
    /*

b. applicationContext.xml
在applicationContext.xml文件中，定义SecurityManager和与web.xml中过滤器同名的"shiroFilter" bean：

    
    
    
    
    
    
    
        
            # some example chain definitions:
            /admin/** = authc, roles[admin]
            /docs/** = authc, perms[document:read]
            /** = authc
            # more URL-to-FilterChain definitions here
        
    







 ... 
...


    
    
    
    






...

4. Enabling Shiro Annotations
可以使用Shiro的注解在单应用或web应用中进行安全检查(@RequiresRoles, @RequiresPermissions等)，这需要集成Spring AOP。
在applicationContext.xml如下配置即可：

5. Secure Spring Remoting
两部分配置来支持Spring远程调用: 客户端和服务端。
a. Server-side Configuration
当一个远程方法调用进入Shiro服务器时，Subject关联的RPC调用必须绑定到接受线程上才能在线程执行间访问。这是通过在applicationContext.xml中定义SecureRemoteInvocationExecutor：

然后，将定义的bean配置到使用的远程Exporter中。Exporter的实现将根据使用的远程协议定义。如果使用基于HTTP的远程协议：

b. Client-side Configuration
当执行远程调用，Subject的标识信息必须附加到远程调用的负载上使服务器知道谁在执行远程调用。如果客户端是基于Spring，可以通过SecureRemoteInvocationFactory：

然后，将定义的bean配置到使用的ProxyFactoryBean中。如果使用基于HTTP的远程协议：