SpringBoot前后端分离下使用shiro

前言

很久之前就接触shiro了，那时候还停留在jsp，servlet阶段，后来到了ssm，web.xml里要配置好多东西。终于有一天，开启了SpringBoot的大门，前后端分离模式也就成了工作的内容。说实话，shiro原生不太支持前后端分离模式，源码里默认的登录页面是login.jsp，这就很尴尬了，不过，改一改还是能用的。本文主要讲的是如何在前后端分离的情况下使用shiro，而不是springboot下如何使用shiro的。

一、shiro的session处理

shiro的session是自定义的，和HttpServletRequest的cookie里的JSESSIONID有关。安卓不太支持cookie，所以为了能适配安卓应用以及其他无法携带cookie的请求，我们要重写shiro获取session的方法。

public class MySessionManager extends DefaultWebSessionManager {
	
	private Logger logger = LoggerFactory.getLogger(getClass());
	
	private static final String AUTHORIZATION = "Authorization";  
	  
	private static final String REFERENCED_SESSION_ID_SOURCE = "Stateless request";  
	  
	public MySessionManager() {  
		super();  
	}  
	
	/**
	 * @param request
	 * @param response
	 * @return
	 */
	@Override
	protected Serializable getSessionId(ServletRequest request, ServletResponse response) {
		String id=WebUtils.toHttp(request).getHeader(AUTHORIZATION);
		//如果请求头中有 Authorization 则其值为sessionId 
		if (!StringUtils.isEmpty(id)) {//id不为空
			logger.info("请求头中获取sessionId");
			request.setAttribute(ShiroHttpServletRequest.REFERENCED_SESSION_ID_SOURCE, REFERENCED_SESSION_ID_SOURCE);
			request.setAttribute(ShiroHttpServletRequest.REFERENCED_SESSION_ID, id);
			request.setAttribute(ShiroHttpServletRequest.REFERENCED_SESSION_ID_IS_VALID, Boolean.TRUE);
			return id;
		}else{
			 //否则按默认规则从cookie取sessionId  
			logger.info("默认方式获取sessionId");
			return super.getSessionId(request, response);
		}
	}
}

先看看请求头中有没有，有的话就拿出来放到shiro的session里，没有就用默认的方法获取session。、

二、自定义登录控制

shiro是控制登录的页面的，默认登录页面为login.jsp。但是我们是前后端分离，所以后台不用管页面的跳转。shiro有几个默认的过滤器：

anon(AnonymousFilter.class),
authc(FormAuthenticationFilter.class),
authcBasic(BasicHttpAuthenticationFilter.class),
logout(LogoutFilter.class),
noSessionCreation(NoSessionCreationFilter.class),
perms(PermissionsAuthorizationFilter.class),
port(PortFilter.class),
rest(HttpMethodPermissionFilter.class),
roles(RolesAuthorizationFilter.class),
ssl(SslFilter.class),
user(UserFilter.class);

控制登录的是FormAuthenticationFilter这个类，在源码的onAccessDenied方法中，用户未登录则直接重定向到loginUrl，为了不让他重定向,我们只要继承这个类，重写它的onAccessDenied方法就可以了。

public class MyAuthenticationFilter extends FormAuthenticationFilter {


	@Override
	protected boolean isAccessAllowed(ServletRequest request, ServletResponse response, Object mappedValue) {
		return super.isAccessAllowed(request, response, mappedValue);
	}
	
	@Override
	protected boolean onAccessDenied(ServletRequest request, ServletResponse response) throws Exception {
		
        HttpServletResponse httpServletResponse = (HttpServletResponse) response;
            
        Subject subject = SecurityUtils.getSubject();
        Object user = subject.getPrincipal();

        if (Objects.equals(user, null)) {
            Map result = new HashMap();
            result.put("code", 101);
            result.put("msg", "未登录");
            result.put("data",null);
            httpServletResponse.setCharacterEncoding("UTF-8");
            httpServletResponse.setContentType("application/json");
      httpServletResponse.getWriter().write(JSONObject.toJSONString(result,SerializerFeature.WriteMapNullValue));
        }

        return false;
	}
}

这里我们是直接返回了一些字段信息，告诉前端程序员用户未登录，让他们控制页面跳转至登录页面。切记，一定要把这个自定义的登录控制过滤器加进shiro的filterChainDefinitionMap里，不然没有作用的。

然后在controller的登录方法里调用subject的login方法就可以了。

	@PostMapping("/login")
	public ResultBO