shiro整合cas多次验证或者重复重定向问题

很多人在学习shiro+cas的时候都会遇到的问题：多次验证或者重复重定向。

先上基本配置：

<bean id="shiroFilter" class="org.apache.shiro.spring.web.ShiroFilterFactoryBean"><property name="securityManager" ref="securityManager"/><!-- 设定角色的登录链接，这里为cas登录页面的链接可配置回调地址  --><property name="loginUrl" value="${casUrl}?service=${siteUrl}/login" /><!--<property name="successUrl" value="/lay" />--><property name="unauthorizedUrl" value="/lay" /><property name="filters"><util:map><!-- 添加casFilter到shiroFilter --><entry key="cas" value-ref="casFilter"/><entry key="logout" value-ref="logoutFilter"/><entry key="authc" value-ref="loginFormAuthenticationFilter"/></util:map></property><property name="filterChainDefinitions"><value>/assets/** = anon/interface/** = anon/system/user/forgetPwd = anon/login = cas/j_spring_cas_security_logout = logout/** = authc</value></property></bean><!-- CasFilter为自定义的单点登录Fileter --><bean id="casFilter" class="cn.cst.oss.common.system.security.filter.LoginCasFilter"><property name="successUrl" value="/lay" /><!-- 配置验证错误时的失败页面  --><property name="failureUrl" value="/lay"/></bean><bean id="logoutFilter" class="org.apache.shiro.web.filter.authc.LogoutFilter"><!-- 配置验证错误时的失败页面 --><property name="redirectUrl" value="${casUrl}/logout?service=${siteUrl}" /></bean><bean id="loginFormAuthenticationFilter" class="cn.cst.oss.common.system.security.filter.LoginFormAuthenticationFilter"/><bean id="casRealm" class="cn.cst.oss.common.system.security.filter.ShiroRealm"><property name="casServerUrlPrefix" value="${casUrl}"/><!-- 客户端的回调地址设置，必须和下面的shiro-cas过滤器拦截的地址一致 --><property name="casService" value="${siteUrl}/login"/><property name="sysCode" value="${sysCode}"/></bean><bean id="casSubjectFactory" class="org.apache.shiro.cas.CasSubjectFactory"/><bean id="securityManager" class="org.apache.shiro.web.mgt.DefaultWebSecurityManager"><property name="realm" ref="casRealm"/><property name="subjectFactory" ref="casSubjectFactory"/></bean><bean id="lifecycleBeanPostProcessor" class="org.apache.shiro.spring.LifecycleBeanPostProcessor"/>

看配置可能大家会发现，其实跟网上其他教程中的配置没多大区别，但是又有点不同，接下来给大家解释：

1、将successUrl放在casFilter而不是放在shiroFilter。

我的理解是：既然我的认证改为了cas认证，那么我就应该把成功与失败都交给cas，而不是交给shiro。

2、重写authc与casFilter。

很多人初学都会遇到多次验证或者重复重定向，然后拿着异常网上各种查资料，到最后会发现，是因为shiro封装了指定的返回路劲：/、/index、上次request地址

通过配置文件配置的路劲，只是一个辅助作用，在shiro找不到跳转路劲后才会跳转到配置的路劲，所以我们要做的就是：重写跳转方法。

@Overrideprotected boolean onLoginSuccess(AuthenticationToken token, Subject subject, ServletRequest request,ServletResponse response) throws Exception {boolean flag = true;String successUrl = this.getSuccessUrl();if("".equals(successUrl)){successUrl = DEFAULT_SUCCESS_URL;}WebUtils.issueRedirect(request, response, successUrl, null, flag);//we handled the success redirect directly, prevent the chain from continuing:return false;}

这里的DEFAULT_SUCESS_URL就是默认的 / ，如果你的配置中有指定就放在这里可以不管，不然还是换个默认地址吧。

3、重点来了，如果没有耐心看到这里，那么只能抱歉，而看到这里的童鞋，继续向下看吧^_^：

上面说了多次验证的情况，还原下场景：A用户登录，发现应用系统后台先报错，然后又验证通过了，cas服务端登陆一次，TGT验证成功，但是ST第一次验证失败，但是生成的第二个ST却验证成功了，回调后咱进入了应用系统界面。这个问题的出现比较奇葩，解决方式很简单。

按照我上面贴出来的配置启动项目，你很容易就能复现这个错误，原因就是我在里面多加了一个参数：

<bean id="securityManager" class="org.apache.shiro.web.mgt.DefaultWebSecurityManager"><property name="realm" ref="casRealm"/><!-- 该参数加上会有一个报错，但是验证是能通过的 --><!--<property name="subjectFactory" ref="casSubjectFactory"/>--></bean>

实话实说，这个问题根据源码看是因为subjectFactory的参数不一样导致的，猜想应该是CasSubjectFactory创建subject过程中与cas有交互，默认的并没有导致的，不过我并没有深入研究。

备注：之所以重写authc权限验证，我举个例子：A用户在A电脑登录了子系统B，进入了管理菜单。然后A用户在B电脑登录了，同时管理员把A用户的权限改了，进不去子系统B了。这个时候A用户在A电脑已经在后台被CAS强制登出了，A用户需要重新登录才行。如果补充些authc，则会出现以下情况：A用户回到A电脑登录，验证通过，在跳转路劲时系统会发现，你上次访问历史是子系统B，但是现在已经没有权限了，怎么办，报错呗。而重写authc过滤器后，shiro就会直接说，你是重新登录的，我把首页给你，要进哪个系统自己去看。

shiro整合cas多次验证或者重复重定向问题相关推荐

Shiro 整合SpringMVC 并实现权限管理，登录和注销
Shiro 整合SpringMVC 并且实现权限管理,登录和注销 Apache Shiro是Java的一个安全框架.目前,使用Apache Shiro的人越来越多,因为它相当简单,对比Spring S ...
Shiro整合SSO单点登录系统
版权声明:本文为博主原创文章,遵循 CC 4.0 by-sa 版权协议,转载请附上原文出处链接和本声明. 本文链接:https://blog.csdn.net/m0_37797991/article/ ...
SpringBoot与Shiro整合-概述
主要讲解如何使用Spring Boot与Shiro进行整合使用,实现强大的用户权限管理,其中涉及如何完成用户认证(即用户登录),用户授权,thymeleaf页面整合shiro权限标签等知识点 Spri ...
项目一:第十二天 1、常见权限控制方式 2、基于shiro提供url拦截方式验证权限 3、在realm中授权 5、总结验证权限方式（四种） 6、用户注销7、基于treegrid实现菜单展示...
1 课程计划 1. 常见权限控制方式 2. 基于shiro提供url拦截方式验证权限 3. 在realm中授权 4. 基于shiro提供注解方式验证权限 5. 总结验证权限方式(四种) 6. 用户注销 ...
springboot 与shiro整合
shiro~ shiro快速入门 springboot 整合shiro 核心目标清爽pom 用户认证授权认证,与数据库交互 shiro configuration 核心controller 获取sh ...
Shiro 整合 SpringBoot
Shiro 整合 SpringBoot shiro主要有三大功能模块 Subject:主体,一般指用户. SecurityManager:安全管理器,管理所有Subject,可以配合内部安全组件.(类 ...
shiro整合mybatis数据库
使用shiro实现用户拦截和登录验证之后,整合mybatis数据库 1.导入依赖 <dependencies><dependency><groupId>mysql& ...
java shiro jwt_Springboot实现Shiro整合JWT的示例代码
写在前面之前想尝试把JWT和Shiro结合到一起,但是在网上查了些博客,也没太有看懂,所以就自己重新研究了一下Shiro的工作机制,然后自己想了个(傻逼)办法把JWT和Shiro整合到一起了另外接 ...
springboot+shiro+jwt实现登录+权限验证
目录一.简介: JWT优点: JWT缺点: shiro: JWT: 1.JWT头 2.有效载荷 3.签名哈希 4.Base64URL算法二.实现 1.引入maven依赖 2.编写shiro配置类 ...

shiro整合cas多次验证或者重复重定向问题

shiro整合cas多次验证或者重复重定向问题相关推荐

最新文章

热门文章