shiro框架学习-6-Shiro内置的Filter过滤器及数据加解密

Posted 2021-03-21 enjoyjava

1.  shiro的核心过滤器定义在枚举类DefaultFilter 中，一共有11个 ，配置哪个路径对应哪个拦截器进行处理

//
// Source code recreated from a .class file by IntelliJ IDEA
// (powered by Fernflower decompiler)
//

package org.apache.shiro.web.filter.mgt;

import java.util.LinkedHashMap;
import java.util.Map;
import javax.servlet.Filter;
import javax.servlet.FilterConfig;
import javax.servlet.ServletException;
import org.apache.shiro.util.ClassUtils;
import org.apache.shiro.web.filter.authc.AnonymousFilter;
import org.apache.shiro.web.filter.authc.BasicHttpAuthenticationFilter;
import org.apache.shiro.web.filter.authc.FormAuthenticationFilter;
import org.apache.shiro.web.filter.authc.LogoutFilter;
import org.apache.shiro.web.filter.authc.UserFilter;
import org.apache.shiro.web.filter.authz.HttpMethodPermissionFilter;
import org.apache.shiro.web.filter.authz.PermissionsAuthorizationFilter;
import org.apache.shiro.web.filter.authz.PortFilter;
import org.apache.shiro.web.filter.authz.RolesAuthorizationFilter;
import org.apache.shiro.web.filter.authz.SslFilter;
import org.apache.shiro.web.filter.session.NoSessionCreationFilter;

public enum DefaultFilter {
    anon(AnonymousFilter.class),
    authc(FormAuthenticationFilter.class),
    authcBasic(BasicHttpAuthenticationFilter.class),
    logout(LogoutFilter.class),
    noSessionCreation(NoSessionCreationFilter.class),
    perms(PermissionsAuthorizationFilter.class),
    port(PortFilter.class),
    rest(HttpMethodPermissionFilter.class),
    roles(RolesAuthorizationFilter.class),
    ssl(SslFilter.class),
    user(UserFilter.class);

    private final Class<? extends Filter> filterClass;

    private DefaultFilter(Class<? extends Filter> filterClass) {
        this.filterClass = filterClass;
    }

    public Filter newInstance() {
        return (Filter)ClassUtils.newInstance(this.filterClass);
    }

    public Class<? extends Filter> getFilterClass() {
        return this.filterClass;
    }

    public static Map<String, Filter> createInstanceMap(FilterConfig config) {
        Map<String, Filter> filters = new LinkedHashMap(values().length);
        DefaultFilter[] var2 = values();
        int var3 = var2.length;

        for(int var4 = 0; var4 < var3; ++var4) {
            DefaultFilter defaultFilter = var2[var4];
            Filter filter = defaultFilter.newInstance();
            if (config != null) {
                try {
                    filter.init(config);
                } catch (ServletException var9) {
                    String msg = "Unable to correctly init default filter instance of type " + filter.getClass().getName();
                    throw new IllegalStateException(msg, var9);
                }
            }

            filters.put(defaultFilter.name(), filter);
        }

        return filters;
    }
}

具体作用为：

• authc：org.apache.shiro.web.filter.authc.FormAuthenticationFilter
  • 需要认证登录才能访问
• user：org.apache.shiro.web.filter.authc.UserFilter
  • 用户拦截器，表示必须存在用户。
• anon：org.apache.shiro.web.filter.authc.AnonymousFilter
  • 匿名拦截器，不需要登录即可访问的资源，匿名用户或游客，一般用于过滤静态资源。
• roles：org.apache.shiro.web.filter.authz.RolesAuthorizationFilter
  • 角色授权拦截器，验证用户是或否拥有角色。
  • 参数可写多个，表示某些角色才能通过，多个参数时写 roles["admin,user"]，当有多个参数时，用户必须同时具备参数中的每个角色才能通过
• perms：org.apache.shiro.web.filter.authz.PermissionsAuthorizationFilter
  • 权限授权拦截器，验证用户是否拥有权限
  • 参数可写多个，表示需要某些权限才能通过，多个参数时写 perms["user, admin"]，当有多个参数时必须每个参数都通过才算可以
• authcBasic：org.apache.shiro.web.filter.authc.BasicHttpAuthenticationFilter
  • httpBasic 身份验证拦截器。
• logout：org.apache.shiro.web.filter.authc.LogoutFilter
  • 退出拦截器，执行后会直接跳转到shiroFilterFactoryBean.setLoginUrl()设置的 url
• port：org.apache.shiro.web.filter.authz.PortFilter
  • 端口拦截器, 可通过的端口。
• ssl：org.apache.shiro.web.filter.authz.SslFilter
  • ssl拦截器，只有请求协议是https才能通过。

2.  Shiro的Filter配置路径

• /admin/video /user /pub
• 路径通配符支持 ?、、*，注意通配符匹配不 包括目录分隔符“/”
• 心 可以匹配所有，不加*可以进行前缀匹配，但多个冒号就需要多个 * 来匹配

URL权限采取第一次匹配优先的方式
? : 匹配一个字符，如 /user? , 匹配 /user3，但不匹配/user/;
* : 匹配零个或多个字符串，如 /add* ,匹配 /addtest，但不匹配 /user/1
** : 匹配路径中的零个或多个路径，如 /user/** 将匹 配 /user/xxx 或 /user/xxx/yyy
例子
/user/**=filter1
/user/add=filter2
请求 /user/add  命中的是filter1拦截器

• 性能问题：通配符比字符串匹配会复杂点，所以性能也会稍弱，推荐是使用字符串匹配方式

3. shiro数据加解密

shiro数据安全主要是由Shiro 里的 CredentialsMatcher来处理

• 什么是散列算法
  • 一般叫hash，简单的说就是一种将任意长度的消息压缩到某一固定长度的消息摘要的函数，适合存储密码，比如MD5
• 什么是salt(盐) 667788——》aabbcc
  • 如果直接通过散列函数得到加密数据，容易被对应解密网站暴力破解，一般会在应用程序里面加特殊的自动进行处理，比如用户id，例子：加密数据 = MD5(明文密码+用户id), 破解难度会更大，也可以使用多重散列，比如多次md5
• Shiro里面 CredentialsMatcher，用来验证密码是否正确，

  • 源码：AuthenticatingRealm -> assertCredentialsMatch()
    

    一般会自定义验证规则
    	@Bean
        public HashedCredentialsMatcher hashedCredentialsMatcher(){
            HashedCredentialsMatcher hashedCredentialsMatcher = new HashedCredentialsMatcher();       
            //散列算法，使用MD5算法;
            hashedCredentialsMatcher.setHashAlgorithmName("md5");  
            //散列的次数，比如散列两次，相当于 md5(md5("xxx"));
            hashedCredentialsMatcher.setHashIterations(2);           
            return hashedCredentialsMatcher;
        }