2. 程式人生 > >第七章 與Web整合——《跟我學Shiro》

第七章 與Web整合——《跟我學Shiro》

阿新 • • 發佈：2019-02-13


Shiro提供了與Web整合的支援，其通過一個ShiroFilter入口來攔截需要安全控制的URL，然後進行相應的控制，ShiroFilter類似於如Strut2/SpringMVC這種web框架的前端控制器，其是安全控制的入口點，其負責讀取配置（如ini配置檔案），然後判斷URL是否需要登入/許可權等工作。

7.1 準備環境

1、建立webapp應用 

此處我們使用了jetty-maven-plugin和tomcat7-maven-plugin外掛；這樣可以直接使用“mvn jetty:run”或“mvn tomcat7:run”直接執行webapp了。然後通過URLhttp://localhost:8080/chapter7/訪問即可。

2、依賴 

Servlet3

Java程式碼 複製程式碼 收藏程式碼
  1. <dependency>  
  2.     <groupId>javax.servlet</groupId>  
  3.     <artifactId>javax.servlet-api</artifactId>  
  4.     <version>3.0.1</version>  
  5.     <scope>provided</scope>  
  6. </dependency>   
<dependency>
    <groupId>javax.servlet</groupId>
    <artifactId>javax.servlet-api</artifactId>
    <version>3.0.1</version>
    <scope>provided</scope>
</dependency> 

shiro-web

Java程式碼 複製程式碼 收藏程式碼
  1. <dependency>  
  2.     <groupId>org.apache.shiro</groupId>  
  3.     <artifactId>shiro-web</artifactId>  
  4.     <version>1.2.2</version>  
  5. </dependency>   
<dependency>
    <groupId>org.apache.shiro</groupId>
    <artifactId>shiro-web</artifactId>
    <version>1.2.2</version>
</dependency> 

其他依賴請參考原始碼的pom.xml。

7.2 ShiroFilter入口

1、Shiro 1.1及以前版本配置方式  

Java程式碼 複製程式碼 收藏程式碼
  1. <filter>  
  2.     <filter-name>iniShiroFilter</filter-name>  
  3.     <filter-class>org.apache.shiro.web.servlet.IniShiroFilter</filter-class>  
  4.     <init-param>  
  5.         <param-name>configPath</param-name>  
  6.         <param-value>classpath:shiro.ini</param-value>  
  7.     </init-param>  
  8. </filter>  
  9. <filter-mapping>  
  10.     <filter-name>iniShiroFilter</filter-name>  
  11.     <url-pattern>/*</url-pattern>  
  12. </filter-mapping>   
<filter>
    <filter-name>iniShiroFilter</filter-name>
    <filter-class>org.apache.shiro.web.servlet.IniShiroFilter</filter-class>
    <init-param>
        <param-name>configPath</param-name>
        <param-value>classpath:shiro.ini</param-value>
    </init-param>
</filter>
<filter-mapping>
    <filter-name>iniShiroFilter</filter-name>
    <url-pattern>/*</url-pattern>
</filter-mapping> 

1、使用IniShiroFilter作為Shiro安全控制的入口點，通過url-pattern指定需要安全的URL；

2、通過configPath指定ini配置檔案位置，預設是先從/WEB-INF/shiro.ini載入，如果沒有就預設載入classpath:shiro.ini，即預設相對於web應用上下文根路徑；

3、也可以通過如下方式直接內嵌ini配置檔案內容到web.xml

Java程式碼 複製程式碼 收藏程式碼
  1. <init-param>  
  2.     <param-name>config</param-name>  
  3.     <param-value>  
  4.         ini配置檔案貼在這  
  5.     </param-value>  
  6. </init-param>  
<init-param>
    <param-name>config</param-name>
    <param-value>
        ini配置檔案貼在這
    </param-value>
</init-param>

2、Shiro 1.2及以後版本的配置方式

從Shiro 1.2開始引入了Environment/WebEnvironment的概念，即由它們的實現提供相應的SecurityManager及其相應的依賴。ShiroFilter會自動找到Environment然後獲取相應的依賴。

Java程式碼 複製程式碼 收藏程式碼
  1. <listener>  
  2.    <listener-class>org.apache.shiro.web.env.EnvironmentLoaderListener</listener-class>  
  3. </listener>   
<listener>
   <listener-class>org.apache.shiro.web.env.EnvironmentLoaderListener</listener-class>
</listener> 

通過EnvironmentLoaderListener來建立相應的WebEnvironment，並自動繫結到ServletContext，預設使用IniWebEnvironment實現。

可以通過如下配置修改預設實現及其載入的配置檔案位置：

Java程式碼 複製程式碼 收藏程式碼
  1. <context-param>  
  2.    <param-name>shiroEnvironmentClass</param-name>  
  3.    <param-value>org.apache.shiro.web.env.IniWebEnvironment</param-value>  
  4. </context-param>  
  5.     <context-param>  
  6.         <param-name>shiroConfigLocations</param-name>  
  7.         <param-value>classpath:shiro.ini</param-value>  
  8.     </context-param>   
<context-param>
   <param-name>shiroEnvironmentClass</param-name>
   <param-value>org.apache.shiro.web.env.IniWebEnvironment</param-value>
</context-param>
    <context-param>
        <param-name>shiroConfigLocations</param-name>
        <param-value>classpath:shiro.ini</param-value>
    </context-param> 

shiroConfigLocations預設是“/WEB-INF/shiro.ini”，IniWebEnvironment預設是先從/WEB-INF/shiro.ini載入，如果沒有就預設載入classpath:shiro.ini。

3、與Spring整合

Java程式碼 複製程式碼 收藏程式碼
  1. <filter>  
  2.     <filter-name>shiroFilter</filter-name>  
  3.     <filter-class>org.springframework.web.filter.DelegatingFilterProxy</filter-class>  
  4.     <init-param>  
  5.         <param-name>targetFilterLifecycle</param-name>  
  6.         <param-value>true</param-value>  
  7.     </init-param>  
  8. </filter>  
  9. <filter-mapping>  
  10.     <filter-name>shiroFilter</filter-name>  
  11.     <url-pattern>/*</url-pattern>  
  12. </filter-mapping>   
<filter>
    <filter-name>shiroFilter</filter-name>
    <filter-class>org.springframework.web.filter.DelegatingFilterProxy</filter-class>
    <init-param>
        <param-name>targetFilterLifecycle</param-name>
        <param-value>true</param-value>
    </init-param>
</filter>
<filter-mapping>
    <filter-name>shiroFilter</filter-name>
    <url-pattern>/*</url-pattern>
</filter-mapping> 

DelegatingFilterProxy作用是自動到spring容器查詢名字為shiroFilter（filter-name）的bean並把所有Filter的操作委託給它。然後將ShiroFilter配置到spring容器即可：

Java程式碼 複製程式碼 收藏程式碼
  1. <bean id="shiroFilter"class="org.apache.shiro.spring.web.ShiroFilterFactoryBean">  
  2. <property name="securityManager" ref="securityManager"/>  
  3. <!—忽略其他，詳見與Spring整合部分 -->  
  4. </bean>   
<bean id="shiroFilter" class="org.apache.shiro.spring.web.ShiroFilterFactoryBean">
<property name="securityManager" ref="securityManager"/>
<!—忽略其他，詳見與Spring整合部分 -->
</bean> 

最後不要忘了使用org.springframework.web.context.ContextLoaderListener載入這個spring配置檔案即可。

因為我們現在的shiro版本是1.2的，因此之後的測試都是使用1.2的配置。

7.3 Web INI配置

ini配置部分和之前的相比將多出對url部分的配置。     

Java程式碼 複製程式碼 收藏程式碼
  1. [main]  
  2. #預設是/login.jsp  
  3. authc.loginUrl=/login  
  4. roles.unauthorizedUrl=/unauthorized  
  5. perms.unauthorizedUrl=/unauthorized  
  6. [users]  
  7. zhang=123,admin  
  8. wang=123
  9. [roles]  
  10. admin=user:*,menu:*  
  11. [urls]  
  12. /login=anon  
  13. /unauthorized=anon  
  14. /static/**=anon  
  15. /authenticated=authc  
  16. /role=authc,roles[admin]  
  17. /permission=authc,perms["user:create"]   
[main]
#預設是/login.jsp
authc.loginUrl=/login
roles.unauthorizedUrl=/unauthorized
perms.unauthorizedUrl=/unauthorized
[users]
zhang=123,admin
wang=123
[roles]
admin=user:*,menu:*
[urls]
/login=anon
/unauthorized=anon
/static/**=anon
/authenticated=authc
/role=authc,roles[admin]
/permission=authc,perms["user:create"] 

其中最重要的就是[urls]部分的配置，其格式是： “url=攔截器[引數]，攔截器[引數]”；即如果當前請求的url匹配[urls]部分的某個url模式，將會執行其配置的攔截器。比如anon攔截器表示匿名訪問（即不需要登入即可訪問）；authc攔截器表示需要身份認證通過後才能訪問；roles[admin]攔截器表示需要有admin角色授權才能訪問；而perms["user:create"]攔截器表示需要有“user:create”許可權才能訪問。

url模式使用Ant風格模式

Ant路徑萬用字元支援?、*、**，注意萬用字元匹配不包括目錄分隔符“/”：

?：匹配一個字元，如”/admin?”將匹配/admin1，但不匹配/admin或/admin2；

*：匹配零個或多個字串，如/admin*將匹配/admin、/admin123，但不匹配/admin/1；

**：匹配路徑中的零個或多個路徑，如/admin/**將匹配/admin/a或/admin/a/b。

url模式匹配順序

url模式匹配順序是按照在配置中的宣告順序匹配，即從頭開始使用第一個匹配的url模式對應的攔截器鏈。如：

Java程式碼 複製程式碼 收藏程式碼
  1. /bb/**=filter1  
  2. /bb/aa=filter2  
  3. /**=filter3   
/bb/**=filter1
/bb/aa=filter2
/**=filter3 

如果請求的url是“/bb/aa”，因為按照宣告順序進行匹配，那麼將使用filter1進行攔截。

攔截器將在下一節詳細介紹。接著我們來看看身份驗證、授權及退出在web中如何實現。

1、身份驗證（登入）

1.1、首先配置需要身份驗證的url  

Java程式碼 複製程式碼 收藏程式碼
  1. /authenticated=authc  
  2. /role=authc,roles[admin]  
  3. /permission=authc,perms["user:create"]   
/authenticated=authc
/role=authc,roles[admin]
/permission=authc,perms["user:create"] 

即訪問這些地址時會首先判斷使用者有沒有登入，如果沒有登入默會跳轉到登入頁面，預設是/login.jsp，可以通過在[main]部分通過如下配置修改： 

Java程式碼 複製程式碼 收藏程式碼
  1. authc.loginUrl=/login  
authc.loginUrl=/login

1.2、登入Servlet（com.github.zhangkaitao.shiro.chapter7.web.servlet.LoginServlet） 

Java程式碼 複製程式碼 收藏程式碼
  1. @WebServlet(name = "loginServlet", urlPatterns = "/login")  
  2. publicclass LoginServlet extends HttpServlet {  
  3.     @Override
  4.     protectedvoid doGet(HttpServletRequest req, HttpServletResponse resp)  
  5.       throws ServletException, IOException {  
  6.         req.getRequestDispatcher("/WEB-INF/jsp/login.jsp").forward(req, resp);  
  7.     }  
  8.     @Override
  9.     protectedvoid doPost(HttpServletRequest req, HttpServletResponse resp)  
  10.       throws ServletException, IOException {  
  11.         String error = null;  
  12.         String username = req.getParameter("username");  
  13.         String password = req.getParameter("password");  
  14.         Subject subject = SecurityUtils.getSubject();  
  15.         UsernamePasswordToken token = new UsernamePasswordToken(username, password);  
  16.         try {  
  17.             subject.login(token);  
  18.         } catch (UnknownAccountException e) {  
  19.             error = "使用者名稱/密碼錯誤";  
  20.         } catch (IncorrectCredentialsException e) {  
  21.             error = "使用者名稱/密碼錯誤";  
  22.         } catch (AuthenticationException e) {  
  23.             //其他錯誤，比如鎖定，如果想單獨處理請單獨catch處理
  24.             error = "其他錯誤：" + e.getMessage();  
  25.         }  
  26.         if(error != null) {//出錯了，返回登入頁面
  27.             req.setAttribute("error", error);  
  28.             req.getRequestDispatcher("/WEB-INF/jsp/login.jsp").forward(req, resp);  
  29.         } else {//登入成功
  30.             req.getRequestDispatcher("/WEB-INF/jsp/loginSuccess.jsp").forward(req, resp);  
  31.         }  
  32.     }  
  33. }   
@WebServlet(name = "loginServlet", urlPatterns = "/login")
public class LoginServlet extends HttpServlet {
    @Override
    protected void doGet(HttpServletRequest req, HttpServletResponse resp)
      throws ServletException, IOException {
        req.getRequestDispatcher("/WEB-INF/jsp/login.jsp").forward(req, resp);
    }
    @Override
    protected void doPost(HttpServletRequest req, HttpServletResponse resp)
      throws ServletException, IOException {
        String error = null;
        String username = req.getParameter("username");
        String password = req.getParameter("password");
        Subject subject = SecurityUtils.getSubject();
        UsernamePasswordToken token = new UsernamePasswordToken(username, password);
        try {
            subject.login(token);
        } catch (UnknownAccountException e) {
            error = "使用者名稱/密碼錯誤";
        } catch (IncorrectCredentialsException e) {
            error = "使用者名稱/密碼錯誤";
        } catch (AuthenticationException e) {
            //其他錯誤，比如鎖定，如果想單獨處理請單獨catch處理
            error = "其他錯誤：" + e.getMessage();
        }
        if(error != null) {//出錯了，返回登入頁面
            req.setAttribute("error", error);
            req.getRequestDispatcher("/WEB-INF/jsp/login.jsp").forward(req, resp);
        } else {//登入成功
            req.getRequestDispatcher("/WEB-INF/jsp/loginSuccess.jsp").forward(req, resp);
        }
    }
} 

1、doGet請求時展示登入頁面；

2、doPost時進行登入，登入時收集username/password引數，然後提交給Subject進行登入。如果有錯誤再返回到登入頁面；否則跳轉到登入成功頁面（此處應該返回到訪問登入頁面之前的那個頁面，或者沒有上一個頁面時訪問主頁）。

3、JSP頁面請參考原始碼。

1.3、測試

首先輸入http://localhost:8080/chapter7/login進行登入，登入成功後接著可以訪問http://localhost:8080/chapter7/authenticated來顯示當前登入的使用者： 

Java程式碼 複製程式碼 收藏程式碼
  1. ${subject.principal}身份驗證已通過。  
${subject.principal}身份驗證已通過。

當前實現的一個缺點就是，永遠返回到同一個成功頁面（比如首頁），在實際專案中比如支付時如果沒有登入將跳轉到登入頁面，登入成功後再跳回到支付頁面；對於這種功能大家可以在登入時把當前請求儲存下來，然後登入成功後再重定向到該請求即可。

Shiro內建了登入（身份驗證）的實現：基於表單的和基於Basic的驗證，其通過攔截器實現。

2、基於Basic的攔截器身份驗證

2.1、shiro-basicfilterlogin.ini配置 

Java程式碼 複製程式碼 收藏程式碼
  1. [main]  
  2. authcBasic.applicationName=please login  
  3. ………省略users  
  4. [urls]  
  5. /role=authcBasic,roles[admin]   
[main]
authcBasic.applicationName=please login
………省略users
[urls]
/role=authcBasic,roles[admin] 

1、authcBasic是org.apache.shiro.web.filter.authc.BasicHttpAuthenticationFilter型別的例項，其用於實現基於Basic的身份驗證；applicationName用於彈出的登入框顯示資訊使用，如圖：



2、[urls]部分配置了/role地址需要走authcBasic攔截器，即如果訪問/role時還沒有通過身份驗證那麼將彈出如上圖的對話方塊進行登入，登入成功即可訪問。

2.2、web.xml

把shiroConfigLocations改為shiro-basicfilterlogin.ini即可。

2.3、測試

輸入http://localhost:8080/chapter7/role，會彈出之前的Basic驗證對話方塊輸入“zhang/123”即可登入成功進行訪問。

3、基於表單的攔截器身份驗證

基於表單的攔截器身份驗證和【1】類似，但是更簡單，因為其已經實現了大部分登入邏輯；我們只需要指定：登入地址/登入失敗後錯誤資訊存哪/成功的地址即可。

3.1、shiro-formfilterlogin.ini 

Java程式碼 複製程式碼 收藏程式碼
  1. [main]  
  2. authc.loginUrl=/formfilterlogin  
  3. authc.usernameParam=username  
  4. authc.passwordParam=password  
  5. authc.successUrl=/  
  6. authc.failureKeyAttribute=shiroLoginFailure  
  7. [urls]  
  8. /role=authc,roles[admin]   
[main]
authc.loginUrl=/formfilterlogin
authc.usernameParam=username
authc.passwordParam=password
authc.successUrl=/
authc.failureKeyAttribute=shiroLoginFailure

[urls]
/role=authc,roles[admin] 

1、authc是org.apache.shiro.web.filter.authc.FormAuthenticationFilter型別的例項，其用於實現基於表單的身份驗證；通過loginUrl指定當身份驗證時的登入表單；usernameParam指定登入表單提交的使用者名稱引數名；passwordParam指定登入表單提交的密碼引數名；successUrl指定登入成功後重定向的預設地址（預設是“/”）（如果有上一個地址會自動重定向帶該地址）；failureKeyAttribute指定登入失敗時的request屬性key（預設shiroLoginFailure）；這樣可以在登入表單得到該錯誤key顯示相應的錯誤訊息；

3.2、web.xml

把shiroConfigLocations改為shiro- formfilterlogin.ini即可。

3.3、登入Servlet 

Java程式碼 複製程式碼 收藏程式碼
  1. @WebServlet(name = "formFilterLoginServlet", urlPatterns = "/formfilterlogin")  
  2. publicclass FormFilterLoginServlet extends HttpServlet {  
  3.     @Override
  4.     protectedvoid doGet(HttpServletRequest req, HttpServletResponse resp)  
  5.       throws ServletException, IOException {  
  6.         doPost(req, resp);  
  7.     }  
  8.     @Override
  9.     protectedvoid doPost(HttpServletRequest req, HttpServletResponse resp)  
  10.      throws ServletException, IOException {  
  11.         String errorClassName = (String)req.getAttribute("shiroLoginFailure");  
  12.         if(UnknownAccountException.class.getName().equals(errorClassName)) {  
  13.             req.setAttribute("error", "使用者名稱/密碼錯誤");  
  14.         } elseif(IncorrectCredentialsException.class.getName().equals(errorClassName)) {  
  15.             req.setAttribute("error", "使用者名稱/密碼錯誤");  
  16.         } elseif(errorClassName != null) {  
  17.             req.setAttribute("error", "未知錯誤：" + errorClassName);  
  18.         }  
  19.         req.getRequestDispatcher("/WEB-INF/jsp/formfilterlogin.jsp").forward(req, resp);  
  20.     }  
  21. }  
@WebServlet(name = "formFilterLoginServlet", urlPatterns = "/formfilterlogin")
public class FormFilterLoginServlet extends HttpServlet {
    @Override
    protected void doGet(HttpServletRequest req, HttpServletResponse resp)
      throws ServletException, IOException {
        doPost(req, resp);
    }
    @Override
    protected void doPost(HttpServletRequest req, HttpServletResponse resp)
     throws ServletException, IOException {
        String errorClassName = (String)req.getAttribute("shiroLoginFailure");
        if(UnknownAccountException.class.getName().equals(errorClassName)) {
            req.setAttribute("error", "使用者名稱/密碼錯誤");
        } else if(IncorrectCredentialsException.class.getName().equals(errorClassName)) {
            req.setAttribute("error", "使用者名稱/密碼錯誤");
        } else if(errorClassName != null) {
            req.setAttribute("error", "未知錯誤：" + errorClassName);
        }
        req.getRequestDispatcher("/WEB-INF/jsp/formfilterlogin.jsp").forward(req, resp);
    }
}

在登入Servlet中通過shiroLoginFailure得到authc登入失敗時的異常型別名，然後根據此異常名來決定顯示什麼錯誤訊息。

4、測試

輸入http://localhost:8080/chapter7/role，會跳轉到“/formfilterlogin”登入表單，提交表單如果authc攔截器登入成功後，會直接重定向會之前的地址“/role”；假設我們直接訪問“/formfilterlogin”的話登入成功將直接到預設的successUrl。

4、授權（角色/許可權驗證）

4.1、shiro.ini   

Java程式碼 複製程式碼 收藏程式碼
  1. [main]  
  2. roles.unauthorizedUrl=/unauthorized  
  3. perms.unauthorizedUrl=/unauthorized  
  4.  [urls]  
  5. /role=authc,roles[admin]  
  6. /permission=authc,perms["user:create"]   
[main]
roles.unauthorizedUrl=/unauthorized
perms.unauthorizedUrl=/unauthorized
 [urls]
/role=authc,roles[admin]
/permission=authc,perms["user:create"] 

通過unauthorizedUrl屬性指定如果授權失敗時重定向到的地址。roles是org.apache.shiro.web.filter.authz.RolesAuthorizationFilter型別的例項，通過引數指定訪問時需要的角色，如“[admin]”，如果有多個使用“，”分割，且驗證時是hasAllRole驗證，即且的關係。Perms是org.apache.shiro.web.filter.authz.PermissionsAuthorizationFilter型別的例項，和roles類似，只是驗證許可權字串。

4.2、web.xml

把shiroConfigLocations改為shiro.ini即可。

4.3、RoleServlet/PermissionServlet  

Java程式碼 複製程式碼 收藏程式碼
  1. @WebServlet(name = "permissionServlet", urlPatterns = "/permission")  
  2. publicclass PermissionServlet extends HttpServlet {  
  3.     @Override
  4.     protectedvoid doGet(HttpServletRequest req, HttpServletResponse resp)  
  5.       throws ServletException, IOException {  
  6.         Subject subject = SecurityUtils.getSubject();  
  7.         subject.checkPermission("user:create");  
  8.         req.getRequestDispatcher("/WEB-INF/jsp/hasPermission.jsp").forward(req, resp);  
  9.     }  
  10. }  
@WebServlet(name = "permissionServlet", urlPatterns = "/permission")
public class PermissionServlet extends HttpServlet {
    @Override
    protected void doGet(HttpServletRequest req, HttpServletResponse resp)
      throws ServletException, IOException {
        Subject subject = SecurityUtils.getSubject();
        subject.checkPermission("user:create");
        req.getRequestDispatcher("/WEB-INF/jsp/hasPermission.jsp").forward(req, resp);
    }
}
Java程式碼 複製程式碼 收藏程式碼
  1. @WebServlet(name = "roleServlet", urlPatterns = "/role")  
  2. publicclass RoleServlet extends HttpServlet {  
  3.     @Override
  4.     protectedvoid doGet(HttpServletRequest req, HttpServletResponse resp)  
  5.       throws ServletException, IOException {  
  6.         Subject subject = SecurityUtils.getSubject();  
  7.         subject.checkRole("admin");  
  8.         req.getRequestDispatcher("/WEB-INF/jsp/hasRole.jsp").forward(req, resp);  
  9.     }  
  10. }   
@WebServlet(name = "roleServlet", urlPatterns = "/role")
public class RoleServlet extends HttpServlet {
    @Override
    protected void doGet(HttpServletRequest req, HttpServletResponse resp)
      throws ServletException, IOException {
        Subject subject = SecurityUtils.getSubject();
        subject.checkRole("admin");
        req.getRequestDispatcher("/WEB-INF/jsp/hasRole.jsp").forward(req, resp);
    }
} 

4.4、測試

首先訪問http://localhost:8080/chapter7/login，使用帳號“zhang/123”進行登入，再訪問/role或/permission時會跳轉到成功頁面（因為其授權成功了）；如果使用帳號“wang/123”登入成功後訪問這兩個地址會跳轉到“/unauthorized”即沒有授權頁面。

5、退出

5.1、shiro.ini 

Java程式碼 複製程式碼 收藏程式碼
  1. [urls]  
  2. /logout=anon   
[urls]
/logout=anon 

指定/logout使用anon攔截器即可，即不需要登入即可訪問。

5.2、LogoutServlet

Java程式碼 複製程式碼 收藏程式碼
  1. @WebServlet(name = "logoutServlet", urlPatterns = "/logout")  
  2. publicclass LogoutServlet extends HttpServlet {  
  3.     protectedvoid doGet(HttpServletRequest req, HttpServletResponse resp)  
  4.       throws ServletException, IOException {  
  5.         SecurityUtils.getSubject().logout();  
  6.         req.getRequestDispatcher("/WEB-INF/jsp/logoutSuccess.jsp").forward(req, resp);  
  7.     }  
  8. }   
@WebServlet(name = "logoutServlet", urlPatterns = "/logout")
public class LogoutServlet extends HttpServlet {
    protected void doGet(HttpServletRequest req, HttpServletResponse resp)
      throws ServletException, IOException {
        SecurityUtils.getSubject().logout();
        req.getRequestDispatcher("/WEB-INF/jsp/logoutSuccess.jsp").forward(req, resp);
    }
} 

直接呼叫Subject.logout即可，退出成功後轉發/重定向到相應頁面即可。

5.3、測試

首先訪問http://localhost:8080/chapter7/login，使用帳號“zhang/123”進行登入，登入成功後訪問/logout即可退出。

Shiro也提供了logout攔截器用於退出，其是org.apache.shiro.web.filter.authc.LogoutFilter型別的例項，我們可以在shiro.ini配置檔案中通過如下配置完成退出：

Java程式碼 複製程式碼 收藏程式碼
  1. [main]  
  2. logout.redirectUrl=/login  
  3. [urls]  
  4. /logout2=logout   
[main]
logout.redirectUrl=/login

[urls]
/logout2=logout 

通過logout.redirectUrl指定退出後重定向的地址；通過/logout2=logout指定退出url是/logout2。這樣當我們登入成功後然後訪問/logout2即可退出。

相關推薦

第七章 與Web整合——《跟我學Shiro》

 Shiro提供了與Web整合的支援，其通過一個ShiroFilter入口來攔截需要安全控制的URL，然後進行相應的控制，ShiroFilter類似於如Strut2/SpringMVC這種web框架的前端控制器，其是安全控制的入口點，其負責讀取配置（如ini配置檔案），

第七章 與Web整合（二） ShiroFilter入口

1、Shiro 1.1及以前版本配置方式 <filter> <filter-name>iniShiroFilter</filter-name> <filter-class>org.apache.shiro.web.serv

第七章 與Web整合

Shiro提供了與Web整合的支援，其通過一個ShiroFilter入口來攔截需要安全控制的URL，然後進行相應的控制，ShiroFilter類似於如Strut2/SpringMVC這種web框架的前端控制器，其是安全控制的入口點，其負責讀取配置（如ini配置檔案），然後判

第二章 身份驗證——《跟我學Shiro》[張開濤]

身份驗證，即在應用中誰能證明他就是他本人。一般提供如他們的身份ID一些標識資訊來表明他就是他本人，如提供身份證，使用者名稱/密碼來證明。 在shiro中，使用者需要提供principals （身份）和credentials（證明）給shiro，從而應用能驗證使用者身份： p

《圖解HTTP》閱讀筆記--第七章---確保WEB安全的HTTPS

http 發的 安全協議 https 無法自動 交換 一個 加密技術 ssl證書 　　　　　　　　　　　　　　第七章、確保WEB安全的HTTPSHTTP的缺點：通信使用明文（不加密），內容可能會被竊聽 解決---加密處理： 　　//將通信加密 :通過SSL（安全套接層）-

第十八章 併發登入人數控制——《跟我學Shiro》

在某些專案中可能會遇到如每個賬戶同時只能有一個人登入或幾個人同時登入，如果同時有多人登入：要麼不讓後者登入；要麼踢出前者登入（強制退出）。比如spring security就直接提供了相應的功能；Shiro的話沒有提供預設實現，不過可以很容易的在Shiro中加入這個功能

第六章 Realm及相關物件——《跟我學Shiro》

ection；然後通過其getPrimaryPrincipal獲取PrimaryPrincipal。 Java程式碼   Set<String> realmNames = princialCollection.getRealmNames();   獲取所

《uCOS51移植心得》---七年前之《快快樂樂跟我學51微控制器作業系統和IP棧》 第五部分.NE2000網絡卡晶片驅動程式

NE2000網絡卡晶片驅動程式 巨龍公司系統整合開發部 楊屹 [email protected]  2002/10/20 引言     自從發表《uCOS51移植心得》以來，我收到了很多朋友們的來信，大家對公開源碼錶示鼓勵，謝謝大家的支援！很多人對於編寫自己的作業系統很感興趣，uCOS51是個不錯的

第七章：springboot整合MongoDB

本篇博文主要講述入使用springboot對MongoDB進行整合 這裡我們需要先安裝配置MongoDB。在官網下載會比較慢，（反正我是比較慢啦，不知道各位的了）所以我特意提供了一下我下載好的安裝包，以及補丁，還有一個視覺化工具。地址在下方，有需要的可以前往下載。 此

《uCOS51移植心得》---七年前之《快快樂樂跟我學51微控制器作業系統和IP棧》 第九部分在OSStart前開中斷引起的莫名其妙錯誤

在OSStart前開中斷引起的莫名其妙錯誤                                         巨龍公司VPN部 楊屹 [email protected]   2004/03/09 2004/03/07網友方呂ladderls來電詢問以下問題： 你的ucos-ii在51的

《uCOS51移植心得》---七年前之《快快樂樂跟我學51微控制器作業系統和IP棧》 第六部分ARP協議實現原理

ARP協議實現原理           作者<[email protected]> 2002/11/01     ARP是Address Resolution Protocol的縮寫。中文譯做“地址解析協議”，本質是完成網路地址到實體地址的對映。從概念上講就是找到一個對映方法f，使得“實

OAuth2整合——《跟我學Shiro》

http://jinnianshilongnian.iteye.com/blog/2038646 目前很多開放平臺如新浪微博開放平臺都在使用提供開放API介面供開發者使用，隨之帶來了第三方應用要到開放平臺進行授權的問題，OAuth就是幹這個的，OAuth2是OAuth協議

wxWidgets的安裝與編譯 -《跟我學wxWidgets開發》系列教程

開始選單－>程式－> Microsoft Visual Studio 2010－>Visual Studio Tools －>Microsoft Visual Studio命令提示環境2010 通過命令進入wxWidgets的bu

跟我學Shiro實踐-簡單的認證授權

pass 哪些 .com jin 怎麽 don AR ejb from 本文是基於張開濤老師的跟我學Shiro系列的個人實踐。幾個月前過了一遍張開濤的跟我學Shiro系列，因為沒有實踐，基本上又全部還給開濤老師了。趁著假期，這次準備將開濤老師的講解實踐一遍。當然本人的實踐不

第七章 JVM體系結構與工作方式

硬件 java內存管理 彈出 操作符 clas 基本 記錄器 pan 操作 JVM能跨計算機體系結構來執行Java字節碼，主要是由於JVM屏蔽了與各個計算機平臺的軟件和硬件之間的差異。 7.1 JVM體系結構 　　7.1.1 何謂JVM 　　　　模擬一個計算機來達到一個計算

第七章-web程序--《Head First Python中文版》

-- 運行 rst post 存在 記錄 共享 python 打印機 Web的運行： 總結： 在生活中實現數據的共享很重要，就是像是書中的例子，一個教練需要記錄每一個學員的成績並且給每一個成員看。就像我們的學習成績，很難想想我們沒有打印機沒有處理數據的軟件存在

JSP Web第七章整理復習 Servlet基礎知識

pattern scrip 目的 方法 內置 文件中 javax bubuko 項目 P206-208 Servlet項目的創建，web.xml的配置及標簽含義，相關程序 　　創建：new 一個Servlet類，繼承自javax.servlet.http.HttpServl

java並發編程實戰：第七章----取消與關閉

希望 檢索 原子 put get() 文件句柄 停止工作 下一個 告訴 Java沒有提供任何機制來安全地終止線程（雖然Thread.stop和suspend方法提供了這樣的機制，但由於存在缺陷，因此應該避免使用 中斷：一種協作機制，能夠使一個線程終止另一個線程的當前工作 立

【軟件構造】第七章第二節 錯誤與異常處理

throw 之間 IE 程序猿 數組越界 它的 extends 希望 nds 第七章第二節 錯誤與異常處理 本節關註：Java中錯誤和異常處理的典 型技術——把原理落實到代碼上！ Outline： Java中的錯誤和異常（java.lang.throwable） 異常

使用jQuery快速高效制作網頁交互特效——07 第七章 jQuery中的事件與動畫

left true scale 阻止 ble something 傳遞 程序 節點 1、 jQuery中的事件： ●和WinForm一樣，在網頁中的交互也是需要事件來實現的，例如tab切換效果，可以通過鼠標單擊事件來實現 ●jQuery事件是對JavaScr