前面兩節內容介紹了Shiro中是如何進行身份和許可權的認證，但是隻是單純的進行Shiro的驗證，簡單一點的話，用的是.ini配置檔案，也舉了個使用jdbc realm的例子，這篇博文主要來總結一下Shiro是如何整合web的，即如何用在web工程中。

寫在前面：本文沒有使用web框架，比如springmvc或者struts2，用的是原始的servlet，使用的是.ini配置檔案，旨在簡單粗暴，說明問題。後面會寫一些和框架整合的博文。 
本文部分參考Apache Shiro的官方文件，文件地址：http://shiro.apache.org/web.html

新建一個基於maven的web工程，整個工程結構目錄如下： 

1. 配置

1.1 web.xml配置

　　Shiro如果想要整合到web中，首先需要在web.xml中配置Shiro的監聽器和過濾器，如下：

<!-- 新增shiro支援 -->
 <listener>
   <listener-class>org.apache.shiro.web.env.EnvironmentLoaderListener</listener-class>
 </listener>

 <filter>
   <filter-name>ShiroFilter</filter-name
 
>
   <filter-class>org.apache.shiro.web.servlet.ShiroFilter</filter-class>
   <init-param>
    <param-name>configPath</param-name>
    <param-value>/WEB-INF/shiro.ini</param-value>
   </init-param>
 </filter>

 <filter-mapping>
   <filter-name
 
>ShiroFilter</filter-name>
   <url-pattern>/*</url-pattern>
 </filter-mapping>

　　由上面的配置可以看出，定義Shiro配置檔案的路徑在/WEE-INF/shiro.ini檔案，Shiro的過濾器將會攔截所有的請求。web.xml中其他配置就是servlet的對映配置了，不同的servlet對應不同的請求url，如下：

<servlet>
   <servlet-name>LoginServlet</servlet-name>
   <servlet-class>demo.shiro.servlet.LoginServlet</servlet-class>
 </servlet>  
 <servlet-mapping>
  <servlet-name>LoginServlet</servlet-name>
  <url-pattern>/login</url-pattern>
</servlet-mapping>

 <servlet>
   <servlet-name>AdminServlet</servlet-name>
   <servlet-class>demo.shiro.servlet.AdminServlet</servlet-class>
 </servlet>
 <servlet-mapping>
  <servlet-name>AdminServlet</servlet-name>
  <url-pattern>/admin</url-pattern>
</servlet-mapping>

<servlet>
  <servlet-name>TeacherRoleServlet</servlet-name>
  <servlet-class>demo.shiro.servlet.TeacherRoleServlet</servlet-class>
</servlet>
<servlet-mapping>
  <servlet-name>TeacherRoleServlet</servlet-name>
  <url-pattern>/student</url-pattern>
</servlet-mapping>
<servlet-mapping>

<servlet>
  <servlet-name>LogoutServlet</servlet-name>
  <servlet-class>demo.shiro.servlet.LogoutServlet</servlet-class>
</servlet>
<servlet-name>LogoutServlet</servlet-name>
  <url-pattern>/logout</url-pattern>
</servlet-mapping>

<servlet>
  <servlet-name>TeacherPermsServlet</servlet-name>
  <servlet-class>demo.shiro.servlet.TeacherPermsServlet</servlet-class>
</servlet>
<servlet-mapping>
  <servlet-name>TeacherPermsServlet</servlet-name>
  <url-pattern>/teacher</url-pattern>
</servlet-mapping>

1.2 pom.xml配置

　　pom檔案中需要引入相關的jar

<project xmlns="http://maven.apache.org/POM/4.0.0" xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance"
  xsi:schemaLocation="http://maven.apache.org/POM/4.0.0 http://maven.apache.org/maven-v4_0_0.xsd">
  <modelVersion>4.0.0</modelVersion>
  <groupId>demo.shiro</groupId>
  <artifactId>ShiroWeb</artifactId>
  <packaging>war</packaging>
  <version>0.0.1-SNAPSHOT</version>

  <dependencies>

    <!-- shiro核心包 -->
    <dependency>
        <groupId>org.apache.shiro</groupId>
        <artifactId>shiro-core</artifactId>
        <version>1.2.5</version>
    </dependency>
    <!-- 新增shiro web支援 -->
    <dependency>
        <groupId>org.apache.shiro</groupId>
        <artifactId>shiro-web</artifactId>
        <version>1.2.5</version>
    </dependency>

    <!-- 新增sevlet支援 -->
    <dependency>
        <groupId>javax.servlet</groupId>
        <artifactId>javax.servlet-api</artifactId>
        <version>3.1.0</version>
    </dependency>
    <!-- 新增jsp支援 -->
    <dependency>
        <groupId>javax.servlet.jsp</groupId>
        <artifactId>javax.servlet.jsp-api</artifactId>
        <version>2.3.1</version>
    </dependency>
    <!-- 新增jstl支援 -->
    <dependency>
        <groupId>javax.servlet</groupId>
        <artifactId>jstl</artifactId>
        <version>1.2</version>
    </dependency>
    <!-- 新增log4j日誌 -->
    <dependency>
        <groupId>log4j</groupId>
        <artifactId>log4j</artifactId>
        <version>1.2.17</version>
    </dependency>
    <dependency>
        <groupId>commons-logging</groupId>
        <artifactId>commons-logging</artifactId>
        <version>1.2</version>
    </dependency>
    <dependency>
        <groupId>org.slf4j</groupId>
        <artifactId>slf4j-api</artifactId>
        <version>1.7.21</version>
    </dependency>
    <dependency>
      <groupId>junit</groupId>
      <artifactId>junit</artifactId>
      <version>4.12</version>
      <scope>test</scope>
    </dependency>
  </dependencies>
  <build>
    <finalName>ShiroWeb</finalName>
  </build>
</project>

2. Shiro的內建過濾器（Default Filters）

　　當執行Web應用程式時，Shiro將建立一些有用的內建過濾器例項，並且自動的在[main]部分使用。我們可以人為配置它們，就好比spring中的bean一樣，並且在自己定義的url中引用它們。Shiro中內建的過濾器有以下幾個：

　　這些內建的過濾器使用方法是這樣的，一般先指定一個請求url對應一個過濾器名，由於該過濾器對應一個類，而這個類中會有一個屬性，這個屬性是當驗證失敗的時候指定要跳轉到那個url的，所以將這個屬性配置成驗證失敗後你要請求的url即可。這裡我舉其中幾個（匿名，身份驗證，許可驗證，許可權驗證）來說明如何使用，其他的類似。

3. Shiro的配置檔案

　　針對上面我提到的幾個驗證，先把shiro.ini檔案寫好：

[main]
#定義身份認證失敗後的請求url對映，loginUrl是身份認證過濾器中的一個屬性
authc.loginUrl=/login
#定義角色認證失敗後的請求url對映，unauthorizedUrl是角色認證過濾器中的一個屬性
roles.unauthorizedUrl=/unauthorized.jsp
#定義角色認證失敗後請求url對映，unauthorizedUrl是角色認證過濾器中的一個屬性
perms.unauthorizedUrl=/unauthorized.jsp

#定義幾個使用者和角色
[users]
csdn1=123,admin,teacher
csdn2=123,teacher
csdn3=123,student
csdn4=123

#定義不同角色的許可權
[roles]
admin=user:*,student:*
teacher=student:*

#定義請求的地址需要做什麼驗證
[urls]
#請求login的時候不需要許可權，遊客身份即可(anon)
/login=anon 
#請求/admin的時候，需要身份認證(authc)
/admin=authc 
#請求/student的時候，需要角色認證，必須是擁有teacher角色的使用者才行
/student=roles[teacher]
#請求/teacher的時候，需要許可權認證，必須是擁有user:create許可權的角色的使用者才行
/teacher=perms["user:create"]

• 我簡單說明一下這個配置，比如[main]中定義的authc.loginUrl=/login，authc是一個內建過濾器，它對應org.apache.shiro.web.filter.authc.AnonymousFilter類，而這個類中有個loginUrl屬性，表示驗證失敗後將要請求的url對映，這個url對映與一個具體的servlet對應，讀到這裡，可以和上面的servlet配置對比一下就知道了。roles.unauthorizedUrl也是一樣的道理，只不過這裡驗證失敗直接請求一個具體的jsp頁面而已。 

　　[users]中是Subject認證主體，就不再贅述了，[urls]中定義需要攔截哪些請求，並做什麼驗證。比如/login的url對映請求不攔截，因為是登陸的，請求/admin的url對映的話做身份認證，請求/student的url對映的話要做角色認證，且必須是teacher角色才行，請求/teacher的url對映的話需要進行許可權認證，必須有user:create許可權的使用者才可以通過驗證。

4. 測試程式

　　接下來一個個測試上面的這些認證。

4.1 測試authc身份認證

　　測試authc，得有/admin請求，加上上面的servlet配置可知，首先完成LoginServlet和AdminServlet。

//LoginServlet.java
public class LoginServlet extends HttpServlet {

    public void doGet(HttpServletRequest request, HttpServletResponse response)
            throws ServletException, IOException {
        System.out.println("login doGet");
        String username = request.getParameter("username");
        String password = request.getParameter("password");

        Subject currentUser = SecurityUtils.getSubject();
        UsernamePasswordToken token = new UsernamePasswordToken(username, password);
        try {
            currentUser.login(token);
            System.out.println("認證成功");
            request.getSession().setAttribute("username", username);
            request.getRequestDispatcher("/success.jsp").forward(request, response);
        } catch (AuthenticationException e) {
            e.printStackTrace();
            System.out.println("認證失敗");
            request.getRequestDispatcher("/login.jsp").forward(request, response);
        }
    }

    public void doPost(HttpServletRequest request, HttpServletResponse response)
            throws ServletException, IOException {

        doGet(request, response);
    }
}

　　認證成功跳轉到success.jsp頁面，認證失敗的話就進入登入頁面，讓使用者先登入，看一下success.jsp和login.jsp

<form action="${pageContext.request.contextPath }/login" method="post">
    username:<input type="text" name="username"/><br>
    password:<input type="password" name="password"/><br>
    <input type="submit" value="登陸">
</form>

　　因為登入提交請求的是/login，而/login=anon表示匿名驗證，所以不會攔截認證，直接進入LoginServlet，執行我們自己寫的認證程式碼。下面是success.jsp，很簡單。

<body>
     歡迎你${username }
     <a href="${pageContext.request.contextPath }/logout">退出</a>
</body>

　　順帶把LogoutServlet寫了：

public class LogoutServlet extends HttpServlet {

    public void doGet(HttpServletRequest request, HttpServletResponse response)
            throws ServletException, IOException {
        request.getSession().invalidate(); //直接讓session失效
    }

    public void doPost(HttpServletRequest request, HttpServletResponse response)
            throws ServletException, IOException {

        doGet(request, response);
    }

}

　　然後就是/admin請求了，請求的是AdminServlet.jsp，如果認證成功就會進入該servlet：

public class AdminServlet extends HttpServlet {

    private static final long serialVersionUID = 1L;

    public void doGet(HttpServletRequest request, HttpServletResponse response)
            throws ServletException, IOException {
        System.out.println("admin doGet");
        request.getRequestDispatcher("/success.jsp").forward(request, response);
    }

    public void doPost(HttpServletRequest request, HttpServletResponse response)
            throws ServletException, IOException {

        doGet(request, response);
    }

}

　　寫好了之後，開啟tomcat，在瀏覽器中訪問：http://localhost:8080/ShiroWeb/admin來請求AdminServlet.java，Shiro根據配置（/admin=authc）會去進行身份認證，但是此時肯定是認證失敗，所以根據配置（authc.loginUrl=/login）去請求LoginServlet.java，Shiro不會去驗證，因為/login=anon，但是LoginServlet.java程式中會驗證，我們自己寫的。因為沒有使用者名稱和密碼，所以認證失敗，會跳轉到login.jsp登陸頁面，輸入使用者名稱和密碼後，再次請求/login，此時再次進入LoginServlet.java，認證成功，進入success.jsp頁面。 
　　因為Shiro中會預設有30分鐘快取時間，所以此時我們再次去訪問http://localhost:8080/ShiroWeb/admin的時候，就可以訪問到AdminServlet.java中了，可以在裡面打斷點驗證，然後掉轉到success.jsp。這就是身份認證的過程。

4.2 測試roles角色認證

　　根據配置檔案，我們需要請求/student才能觸發roles角色認證，所以根據servlet的對映，我們完成TeacherRoleServlet.java程式碼。

public class TeacherRoleServlet extends HttpServlet {

    public void doGet(HttpServletRequest request, HttpServletResponse response)
            throws ServletException, IOException {
        System.out.println("role deget");
        Subject currentUser = SecurityUtils.getSubject();
        //其實是不用判斷了，因為只要進來了，肯定角色是對的，否則進不來
        //判斷當前使用者是否具有teacher角色
        if(currentUser.hasRole("teacher")) {
            request.getRequestDispatcher("/success.jsp").forward(request, response);
        } else {            
            request.getRequestDispatcher("/unauthorized.jsp").forward(request, response);
        }
    }

    public void doPost(HttpServletRequest request, HttpServletResponse response)
            throws ServletException, IOException {

        doGet(request, response);
    }
}

　　上面程式的註釋中也提到了，其實可以不用再認證了，因為進入該servlet之前，Shiro已經幫我們認證了，只有認證成功才會進入到該servlet，否則會根據配置（roles.unauthorizedUrl=/unauthorized.jsp）會直接跳轉到unauthorized.jsp頁面顯示。

<body>
     認證未通過，或者許可權不足
     <a href="${pageContext.request.contextPath }/logout">退出</a>
</body>

　　然後我們在瀏覽器中輸入http://localhost:8080/ShiroWeb/student來請求TeacherRoleServlet，這裡需要注意的是，剛剛測試過後需要點選退出，否則還是當前使用者，會影響這次的測試。在測試角色認證的時候，它會先進行身份認證，再進行角色認證。也就是說，Shiro會先跳轉到登陸頁面讓我們登陸，我們可以嘗試兩個不同的使用者csdn1（有teacher角色）和csdn3（沒有teacher角色）來測試。

4.2 測試perms許可權認證

　　和上面一樣，先寫TeacherPermsServlet.java：

public class TeacherPermsServlet extends HttpServlet {

    public void doGet(HttpServletRequest request, HttpServletResponse response)
            throws ServletException, IOException {
        System.out.println("perms doget");
        Subject currentUser = SecurityUtils.getSubject();
        // 其實是不用判斷了，因為只要進來了，肯定角色是對的，否則進不來
        // 判斷當前使用者是否具有teacher角色
        if (currentUser.isPermitted("user:create")) {
            request.getRequestDispatcher("/success.jsp").forward(request,
                    response);
        } else {
            request.getRequestDispatcher("/unauthorized.jsp").forward(request,
                    response);
        }
    }

    public void doPost(HttpServletRequest request, HttpServletResponse response)
            throws ServletException, IOException {

        doGet(request, response);
    }
}

　　然後我們在瀏覽器中輸入http://localhost:8080/ShiroWeb/teacher來請求TeacherPermsServlet ，這裡同樣需要注意的是，剛剛測試過後需要點選退出，否則還是當前使用者，會影響這次的測試。在測試許可權認證的時候，它同樣會先進行身份認證，再進行許可權認證。也就是說，Shiro會先跳轉到登陸頁面讓我們登陸，我們可以嘗試兩個不同的使用者csdn1（有admin角色，從而有user:create許可權）和csdn3（沒有admin角色，從而沒有user:create許可權）來測試。

5. url匹配方式

　　這裡提一下Shiro在整合web的時候，url可以不用向上面那樣寫的很死，它可以匹配的，比如：

/admin?=authc，表示可以請求以admin開頭的字串，如xxx/adminfefe，但無法匹配多個，即xxx/admindf/admin是不行的 
/admin*=authc表示可以匹配零個或者多個字元，如/admin，/admin1，/admin123，但是不能匹配/admin/abc這種 
/admin/**=authc表示可以匹配零個或者多個路徑，如/admin，/admin/ad/adfdf等。 
/admin*/**=authc這個就不多說了，結合上面兩個就知道了。