跳至主要內容

SSM集成Shiro自定义权限过滤器不执行解决方案

ycyin2020年2月11日大约 5 分钟Web技术&安全SSMShiro

开发环境

  • IntelliJ IDEA 2019.3 ×64
  • Spring 4.3.3
  • Shiro 1.3.2

问题重现

在Shiro的权限认证后，如果没有权限，系统会跳转到指定的页面，这就需要如下配置：

<!-- 权限认证失败，则跳转到指定页面 -->
<property name="unauthorizedUrl" value="/unauthorized"/>

这一般用在非前后端分离的应用中，如果系统采用前后端分离架构则需要后台直接返回JSON格式的数据。在Shiro中，通常采用自定义过滤器（Filter）重写AuthorizationFilter类中的isAccessAllowed和onAccessDenied方法来实现。目的是过滤器拦截到没有权限访问目标资源时，直接返回“无权限”等JSON数据。

自定义过滤器：

接着，在shiro的配置文件xml中配置和使用过滤器：

同时还需要在web.xml中监听shiroFilter：

<!--shiro过滤器-->
    <filter>
        <filter-name>shiroFilter</filter-name>
        <filter-class>org.springframework.web.filter.DelegatingFilterProxy</filter-class>
        <init-param>
            <!-- 该值缺省为false,表示生命周期由SpringApplicationContext管理,设置为true则表示由ServletContainer管理 -->
            <param-name>targetFilterLifecycle</param-name>
            <param-value>true</param-value>
        </init-param>
    </filter>
    <filter-mapping>
        <filter-name>shiroFilter</filter-name>
        <url-pattern>/*</url-pattern>
    </filter-mapping>

**问题来了：**访问的目标资源没有权限时，不执行自定义的权限过滤器，系统无法返回JSON数据，而是直接发生UnauthorizedException与UnauthenticatedException异常。具体的异常信息见文末附1。

解决问题

在折腾半天后，无论怎样也不能完成过滤器的回调，只能通过全局异常拦截的方式改正。

参考： https://blog.csdn.net/joe_storm/article/details/80375089

初步

在SpringMVC中处理异常的方式是在springmvc.xml中配置org.springframework.web.servlet.handler.SimpleMappingExceptionResolver

如下：

<bean class="org.springframework.web.servlet.handler.SimpleMappingExceptionResolver">
    <property name="exceptionMappings">
        <props>
            <!-- 错误异常转发jsp页面 -->
            <prop key="org.apache.shiro.authz.UnauthorizedException">/unauthorized.jsp</prop>
            <prop key="org.apache.shiro.authz.UnauthenticatedException">/unauthenticated.jsp</prop>
        </props>
    </property>
</bean>

但是这种方式还是进行页面的跳转，不能直接返回数据。这时需要重写SimpleMappingExceptionResolver，主要是覆盖doResolveException方法。

最终

自定义异常处理，重写SimpleMappingExceptionResolver，覆盖doResolveException方法。如下：

然后在Spring配置文件中定义这个bean。

    <!--重写了SimpleMappingExceptionResolver中的doResolveException方法处理异常-->
    <bean class="com.yyc.exception.NoPermissionException">

    </bean>

这时候访问该用户没有权限访问的资源则会返回JSON数据了。

{
    "id": 1,
    "desc": "对不起，您无权限进行当前操作",
    "status": 401
}

附1

UnauthorizedException与UnauthenticatedException异常

异常信息1
异常信息1
异常信息2
异常信息2
Copyright © 2024 ycyin