融合Spring Framework-Apache-Shiro指南

当前位置:　首页>> 技术小册>> Apache-Shiro指南

本页涵盖了将 Shiro 集成到基于 [Spring](http://www.springframework.org/) 的应用程序的方法。

Shiro 的 JavaBean 兼容性使得它非常适合通过 Spring XML 或其他基于 Spring 的配置机制。 Shiro 应用程序需要一个具有单例SecurityManager 实例的应用程序。请注意，这不会是一个静态的单例，但应该只有一个应用程序能够使用的实例，无论它是否是静态单例的。

## 单独的应用

这里是在 Spring 应用程序中启用应用程序单例 SecurityManager 的最简单的方法：

<bean id="myRealm" class="...">
	   ...
	</bean>
	<bean id="securityManager" class="org.apache.shiro.mgt.DefaultSecurityManager">
	   
	   <property name="realm" ref="myRealm"/>
	</bean>
	<bean id="lifecycleBeanPostProcessor" class="org.apache.shiro.spring.LifecycleBeanPostProcessor"/>
	
	<bean class="org.springframework.beans.factory.config.MethodInvokingFactoryBean">
	   <property name="staticMethod" value="org.apache.shiro.SecurityUtils.setSecurityManager"/>
	   <property name="arguments" ref="securityManager"/>
	</bean>

## Web 应用

Shiro 拥有对 Spring Web 应用程序的一流支持。在 Web 应用程序中，所有 Shiro 可访问的 web 请求必须通过一个主要的 Shiro 过滤器。该过滤器本身是极为强大的，允许临时的自定义过滤器链基于任何 URL 路径表达式执行。

在Shiro 1.0 之前，你不得不在 Spring web 应用程序中使用一个混合的方式，来定义 Shiro 过滤器及所有它在 web.xml 中的配置属性，但在Spring XML 中定义 SecurityManager。这有些令人沮丧，由于你不能把你的配置固定在一个地方，以及利用更为先进的 Spring 功能的配置能力，如 PropertyPlaceholderConfigurer 或抽象 bean 来固定通用配置。

现在在 Shiro 1.0 及以后版本中，所有 Shiro 配置都是在 Spring XML 中完成的，用来提供更为强健的 Spring 配置机制。

以下是如何在基于 Spring web 应用程序中配置 Shiro：

### web.xml

除了其他 Spring web.xml 中的元素（ ContextLoaderListener，Log4jConfigListener 等等），定义下面的过滤器及过滤器映射：

<filter>
	    <filter-name>shiroFilter</filter-name>
	    <filter-class>org.springframework.web.filter.DelegatingFilterProxy</filter-class>
	    <init-param>
	        <param-name>targetFilterLifecycle</param-name>
	        <param-value>true</param-value>
	    </init-param>
	</filter>
	...
	
	<filter-mapping>
	    <filter-name>shiroFilter</filter-name>
	    <url-pattern>/*</url-pattern>
	</filter-mapping>

### applicationContext.xml

在你的 applicationContext.xml 文件中，定义 web 支持的SecurityManager 和 'shiroFilter' bean 将会被 web.xml 引用。

<bean id="shiroFilter" class="org.apache.shiro.spring.web.ShiroFilterFactoryBean">
	    <property name="securityManager" ref="securityManager"/>
	    
	    <property name="loginUrl" value="/login.jsp"/>
	    <property name="successUrl" value="/home.jsp"/>
	    <property name="unauthorizedUrl" value="/unauthorized.jsp"/> 
	    
	    <property name="filters">
	        <util:map>
	            <entry key="anAlias" value-ref="someFilter"/>
	        </util:map>
	    </property> 
	    <property name="filterChainDefinitions">
	        <value>
	            # some example chain definitions:
	            /admin/** = authc, roles[admin]
	            /docs/** = authc, perms[document:read]
	            /** = authc
	            # more URL-to-FilterChain definitions here
	        </value>
	    </property>
	</bean>
	
	<bean id="someFilter" class="..."/>
	<bean id="anotherFilter" class="..."> ... </bean>
	...
	<bean id="securityManager" class="org.apache.shiro.web.mgt.DefaultWebSecurityManager">
	    
	    <property name="realm" ref="myRealm"/>
	    
	    
	</bean>
	<bean id="lifecycleBeanPostProcessor" class="org.apache.shiro.spring.LifecycleBeanPostProcessor"/>
	
	<bean id="myRealm" class="...">
	...
	</bean>

## 启用Shiro注解

不论独立的应用程序还是 web 应用程序，都可以使用 Shiro 提供的注解进行安全检查。比如 @RequiresRoles, @RequiresPermissions 等。这些注解需要借助 Spring 的 AOP扫描使用 Shiro 注解的类，并在必要时进行安全逻辑验证。

下面让我们看下如何开启注解，其实很简单，只要在applicationContext.xml 中定义两个 bean 即可。

<bean class="org.springframework.aop.framework.autoproxy.DefaultAdvisorAutoProxyCreator" depends-on="lifecycleBeanPostProcessor"/>
	<bean class="org.apache.shiro.spring.security.interceptor.AuthorizationAttributeSourceAdvisor">
	    <property name="securityManager" ref="securityManager"/>
	</bean>

## Spring远程安全

Shiro 的 Spring 远程支持有两部分组成：远程调用的客户端配置和接收、处理远程调用的服务器端配置。

### 服务端配置

当 Shiro 的 Server 端接收到一个远程方法调用时，与远程调用相关的Subject 必须在接收线程执行时绑定到接收线程上，这项工作通过在applicationContext.xml 中定义 SecureRemoteInvocationExecutor bean 完成。

<bean id="secureRemoteInvocationExecutor" class="org.apache.shiro.spring.remoting.SecureRemoteInvocationExecutor">
	    <property name="securityManager" ref="securityManager"/>
	</bean>

SecureRemoteInvocationExecutor 定义完成后，需要将它加入到Exporter 中，这个 Exporter 用于暴露向外提供的服务，而且 Exporter 的实现类由具体使用的远程处理机制和协议决定。定义 Exporter beans 请参照 Spring 的 [Remoting](http://static.springsource.org/spring/docs/2.5.x/reference/remoting.html) 章节。

以基于 HTTP 的远程 SecureRemoteInvocationExecutor 为例。( remoteInvocationExecutor 属性引用自secureRemoteInvocationExecutor)

### 客户端配置

当远程调用发生时，负责鉴别信息的Subject需要告知server远程方法是谁发起的 。如果客户端是基于Spring的，那么这种关联可以通过Shiro的SecureRemoteInvocationFactory 完成。

然后将SecureRemoteInvocationFactory 添加到与协议相关的Spring远程ProxyFactoryBean 中。

以基于HTTP协议的远程ProxyFactoryBean为例。(remoteInvocationExecutor 属性引用自secureRemoteInvocationExecutor)

该分类下的相关小册推荐：

Apache面试指南