jeesite用户登录功能解析
登录功能路径分析
一般是在浏览器中输入 http://localhost:8080/jeesite-web，页面就会自动跳转到登录页面。
http://localhost:8080/jeesite-web/a/login;JSESSIONID=de2270616b1548069e3ec44c95022821
在spring-mvc.xml中，第82行中配置了无Controller的path-view的直接映射
首先看下web.view.index是什么值？
在jeesite.properties第91行，
#索引页路径
web.view.index=/a也就是说，我们直接访问http://localhost:8080/jeesite-web，其实会被映射到
http://localhost:8080/jeesite-web/a
那么，/a是什么？在jeesite.properties第174行，
adminPath=/a
frontPath=/f通过字面意思，可以知道，/a其实就是管理平台的路径，/f就是门户前台的地址。
项目中通过/a和/f来区分前后台的请求路径
http://localhost:8080/jeesite-web/a
这个地址对应的controller层方式是在 com.thinkgem.jeesite.modules.sys.web.LoginController类文件中，对应的方式为“index”
/**
* 登录成功，进入管理首页
*/
@RequiresPermissions("user")
@RequestMapping(value = "${adminPath}")
public String index(HttpServletRequest request, HttpServletResponse response) {
}
但是，直接在函数方法中打断点调试，输入http://localhost:8080/jeesite-web/a，却会发现并不会进入这个方法。猜测是存在过滤器。在注解中，@RequiresPermissions(“user”) 标明进入这个方法需要user的权限。所以继续检查shiro配置文件 spring-context-shiro.xml。
/static/** = anon
/userfiles/** = anon
${adminPath}/cas = cas
${adminPath}/login = authc
${adminPath}/logout = logout
${adminPath}/** = user
/act/editor/** = user
/ReportServer/** = user
初次进入http://localhost:8080/jeesite-web/a，因为还没有登录，所以没有user权限，就会跳转到 loginUrl路径，及 “${adminPath}/login”, 也就是 http://localhost:8080/jeesite-web/a/login。由此，后台的登录path流程大致清楚了
登录功能流转
http://localhost:8080/jeesite-web/a/login对应的controller是com.thinkgem.jeesite.modules.sys.web.LoginController类文件,对应的方式为login。在方法中，可以看到对应的登录页面为 modules/sys/sysLogin;
/**
* 管理登录
*/
@RequestMapping(value = "${adminPath}/login", method = RequestMethod.GET)
public String login(HttpServletRequest request, HttpServletResponse response, Model model) {
Principal principal = UserUtils.getPrincipal();
if (logger.isDebugEnabled()){
logger.debug("login, active session size: {}", sessionDAO.getActiveSessions(false).size());
}
// 如果已登录，再次访问主页，则退出原账号。
if (Global.TRUE.equals(Global.getConfig("notAllowRefreshIndex"))){
CookieUtils.setCookie(response, "LOGINED", "false");
}
// 如果已经登录，则跳转到管理首页
if(principal != null && !principal.isMobileLogin()){
return "redirect:" + adminPath;
}
return "modules/sys/sysLogin";
}在sysLogin.jsp中，主要是一个用户登录表单
主要的目的是接收用户输入的用户名和密码，action指定了表单的提交方式为 post, 提交的路径为 ${ctx}/login。
在taglib.jsp中
${ctx}其实就是http://localhost:8080/jeesite-web/a。
${ctx}/login就是 http://localhost:8080/jeesite-web/a/login。
在com.thinkgem.jeesite.modules.sys.web.LoginController类文件中，http//localhost:8080/gznc/a/login POST的方式请求对应的方式就是 loginFail。
/**
* 登录失败，真正登录的POST请求由Filter完成
*/
@RequestMapping(value = "${adminPath}/login", method = RequestMethod.POST)
public String loginFail(HttpServletRequest request, HttpServletResponse response, Model model) {
Principal principal = UserUtils.getPrincipal();
// 如果已经登录，则跳转到管理首页
if(principal != null){
return "redirect:" + adminPath;
}
String username = WebUtils.getCleanParam(request, FormAuthenticationFilter.DEFAULT_USERNAME_PARAM);
boolean rememberMe = WebUtils.isTrue(request, FormAuthenticationFilter.DEFAULT_REMEMBER_ME_PARAM);
boolean mobile = WebUtils.isTrue(request, FormAuthenticationFilter.DEFAULT_MOBILE_PARAM);
String exception = (String)request.getAttribute(FormAuthenticationFilter.DEFAULT_ERROR_KEY_ATTRIBUTE_NAME);
String message = (String)request.getAttribute(FormAuthenticationFilter.DEFAULT_MESSAGE_PARAM);
if (StringUtils.isBlank(message) || StringUtils.equals(message, "null")){
message = "用户或密码错误, 请重试.";
}
model.addAttribute(FormAuthenticationFilter.DEFAULT_USERNAME_PARAM, username);
model.addAttribute(FormAuthenticationFilter.DEFAULT_REMEMBER_ME_PARAM, rememberMe);
model.addAttribute(FormAuthenticationFilter.DEFAULT_MOBILE_PARAM, mobile);
model.addAttribute(FormAuthenticationFilter.DEFAULT_ERROR_KEY_ATTRIBUTE_NAME, exception);
model.addAttribute(FormAuthenticationFilter.DEFAULT_MESSAGE_PARAM, message);
if (logger.isDebugEnabled()){
logger.debug("login fail, active session size: {}, message: {}, exception: {}",
sessionDAO.getActiveSessions(false).size(), message, exception);
}
// 非授权异常，登录失败，验证码加1。
if (!UnauthorizedException.class.getName().equals(exception)){
model.addAttribute("isValidateCodeLogin", isValidateCodeLogin(username, true, false));
}
// 验证失败清空验证码
request.getSession().setAttribute(ValidateCodeServlet.VALIDATE_CODE, IdGen.uuid());
// 如果是手机登录，则返回JSON字符串
if (mobile){
return renderString(response, model);
}
return "modules/sys/sysLogin";
}如果登录成功了，则跳转到 “redirect:” + adminPath，及
com.thinkgem.jeesite.modules.sys.web.LoginController类文件中的“index”方法
/**
* 登录成功，进入管理首页
*/
@RequiresPermissions("user")
@RequestMapping(value = "${adminPath}")
public String index(HttpServletRequest request, HttpServletResponse response) {
Principal principal = UserUtils.getPrincipal();
// 登录成功后，验证码计算器清零
isValidateCodeLogin(principal.getLoginName(), false, true);
if (logger.isDebugEnabled()){
logger.debug("show index, active session size: {}", sessionDAO.getActiveSessions(false).size());
}
// 如果已登录，再次访问主页，则退出原账号。
if (Global.TRUE.equals(Global.getConfig("notAllowRefreshIndex"))){
String logined = CookieUtils.getCookie(request, "LOGINED");
if (StringUtils.isBlank(logined) || "false".equals(logined)){
CookieUtils.setCookie(response, "LOGINED", "true");
}else if (StringUtils.equals(logined, "true")){
UserUtils.getSubject().logout();
return "redirect:" + adminPath + "/login";
}
}
// 如果是手机登录，则返回JSON字符串
if (principal.isMobileLogin()){
if (request.getParameter("login") != null){
return renderString(response, principal);
}
if (request.getParameter("index") != null){
return "modules/sys/sysIndex";
}
return "redirect:" + adminPath + "/login";
}
return "modules/sys/sysIndex";
}然后进入首页 sysIndex
登录信息验证
在com.thinkgem.jeesite.modules.sys.web.LoginController类文件中， http://localhost:8080/jeesite-web/a/login POST的方式请求对应的方法 loginFail 中，并看不到用户登录信息验证的过程，这是因为shiro的登录功能在${adminPaht}/login中加入了过滤器。
这个过滤器配置在spring-context-shiro.xml文件里
/static/** = anon
/userfiles/** = anon
${adminPath}/cas = cas
${adminPath}/login = authc
${adminPath}/logout = logout
${adminPath}/** = user
/act/editor/** = user
/ReportServer/** = user
配置中的loginUrl就是指 登录界面
successUrl就是指登录成功的url访问的位置。
在此处，给${adminPath}/login=authc。指定了验证权限名为authc的过滤器。 authc对应的filter为formAuthenticationFilter。
所以整个登录逻辑为：如果任何地方未登录，则访问登录页面，提交时先通过formAuthenticationFilter过滤器，验证账号密码，如果验证通过，则访问主页。
在formAuthenticationFilter中，首先会获取表单中的用户名称和密码，然后传给createToken函数，生成一个自定义的token给SystemAuthorizingRealm中的doGetAuthenticationInfo验证。在SystemAutnorizingRealm中有systemService的实例，该实例中的userDao能取出数据库中的name和password。接着由这两个密码生成SimpleAuthenticationInfo，再由info中的逻辑来验证
FormAuthenticationFilter createToken
protected AuthenticationToken createToken(ServletRequest request, ServletResponse response) {
String username = getUsername(request);
String password = getPassword(request);
if (password==null){
password = "";
}
boolean rememberMe = isRememberMe(request);
String host = StringUtils.getRemoteAddr((HttpServletRequest)request);
String captcha = getCaptcha(request);
boolean mobile = isMobileLogin(request);
return new UsernamePasswordToken(username, password.toCharArray(), rememberMe, host, captcha, mobile);
}AuthenticatingFilter类 executeLogin
FormAuthenticationFilter的父类过滤器执行方法 executeLogin调用 createToken
protected boolean executeLogin(ServletRequest request, ServletResponse response) throws Exception {
AuthenticationToken token = createToken(request, response);
if (token == null) {
String msg = "createToken method implementation returned null. A valid non-null AuthenticationToken " +
"must be created in order to execute a login attempt.";
throw new IllegalStateException(msg);
}
try {
Subject subject = getSubject(request, response);
subject.login(token);
return onLoginSuccess(token, subject, request, response);
} catch (AuthenticationException e) {
return onLoginFailure(token, e, request, response);
}
}在executeLogin中，subject.login(token)会调用SystemAuthorizingRealm类中的doGetAuthenticationInfo方法。
/**
* 认证回调函数, 登录时调用
*/
@Override
protected AuthenticationInfo doGetAuthenticationInfo(AuthenticationToken authcToken) {
UsernamePasswordToken token = (UsernamePasswordToken) authcToken;
int activeSessionSize = getSystemService().getSessionDao().getActiveSessions(false).size();
if (logger.isDebugEnabled()){
logger.debug("login submit, active session size: {}, username: {}", activeSessionSize, token.getUsername());
}
// 校验登录验证码
if (LoginController.isValidateCodeLogin(token.getUsername(), false, false)){
Session session = UserUtils.getSession();
String code = (String)session.getAttribute(ValidateCodeServlet.VALIDATE_CODE);
if (token.getCaptcha() == null || !token.getCaptcha().toUpperCase().equals(code)){
throw new AuthenticationException("msg:验证码错误, 请重试.");
}
}
// 校验用户名密码
User user = getSystemService().getUserByLoginName(token.getUsername());
if (user != null) {
if (Global.NO.equals(user.getLoginFlag())){
throw new AuthenticationException("msg:该已帐号禁止登录.");
}
byte[] salt = Encodes.decodeHex(user.getPassword().substring(0,16));
return new SimpleAuthenticationInfo(new Principal(user, token.isMobileLogin()),
user.getPassword().substring(16), ByteSource.Util.bytes(salt), getName());
} else {
return null;
}
}在这个方法方法中，实现用户名密码的认证，并返回认证信息！！！