必ずあなたを守る(五):Shiro自定义filter进行URL过滤

2016-08-13

为什么要自定义filter

在文章Shiro简介中列举了多种Shiro本身自带的过滤器，可以通过配置XML里的url进行权限管理，例如

过滤器名称	过滤器作用	对应Class
perms	需要权限	org.apache.shiro.web.filter.authz.PermissionsAuthorizationFilter
roles	需要角色	org.apache.shiro.web.filter.authz.RolesAuthorizationFilter

可以对其传入一组数组来进行控制

1	/user/**/insert = authc, roles[su,admin], perms[write,read]

但是数组之间的关系是 AND关系，可惜的是Shiro自身并没有提供 OR关系 的过滤器，可以通过自定义过滤器的形式来完成

过滤器逻辑

自定过滤器需要实现AuthorizationFilter接口然后对方法 isAccessAllowed 进行重写，具体可以参考Shiro的源代码


/**
 * Created by Zhuojia on 16/5/23.
 */
public class ORLogicalRolesFilter extends AuthorizationFilter {

    @Override
    protected boolean isAccessAllowed(ServletRequest request, ServletResponse response, Object mappedValue) throws Exception {
        Subject subject = this.getSubject(request, response);
        String[] rolesArray = ((String[])mappedValue);
        if(rolesArray != null && rolesArray.length != 0) {
            List<String> roles = CollectionUtils.asList(rolesArray);
            boolean[] hasRoles = subject.hasRoles(roles);
            for (boolean hasRole:hasRoles) {
                if (hasRole) {
                    return true;
                }
            }
        }
        return false;
    }
}

配置自定义过滤器

在XML的配置中，基于URL进行权限控制的shiroFilter配置自定义过滤器

//首先在Spring中配置自定义过滤器
<bean id="orLogicalRolesFilter" class="com.company.project.shiro.filter.ORLogicalRolesFilter"/>

//然后在Shiro过滤器中配置
<bean id="shiroFilter" class="org.apache.shiro.spring.web.ShiroFilterFactoryBean">
    <property name="securityManager" ref="securityManager"/>
    <property name="loginUrl" value="/login"/>
    <property name="successUrl" value="/manage/index"/>
    <property name="unauthorizedUrl" value="/login"/>
    <property name="filters">
        <map>
            <entry key="orRoles" value-ref="orLogicalRolesFilter"/>  <==== 此处加载自定义过滤器
        </map>
    </property>
    <property name="filterChainDefinitions">
        <value>
        /user/**/insert = authc, roles[su,admin], perms[write,read]   <==== 此处使用的默认过滤器
        /user/**/delete = authc, orRoles[su,admin], perms[write,read] <==== 此处使用了自定义过滤器
        </value>
    </property>
</bean>