shiro

rest:例子/admins/user/**=rest[user],根据请求的方法，相当于/admins/user/**=perms[user:method] ,其中method为post，get，delete等。

port：例子/admins/user/**=port[8081],当请求的url的端口不是8081是跳转到schemal://serverName:8081?queryString,其中schmal是协议http或https等，serverName是你访问的host,8081是url配置里port的端口，queryString

是你访问的url里的？后面的参数。

perms：例子/admins/user/**=perms[user:add:*],perms参数可以写多个，多个时必须加上引号，并且参数之间用逗号分割，例如/admins/user/**=perms["user:add:*,user:modify:*"]，当有多个参数时必须每个参数都通过才通过，想当于

isPermitedAll()方法。

roles：例子/admins/user/**=roles[admin],参数可以写多个，多个时必须加上引号，并且参数之间用逗号分割，当有多个参数时，例如/admins/user/**=roles["admin,guest"],每个参数通过才算通过，相当于hasAllRoles()方法。

anon:例子/admins/**=anon 没有参数，表示可以匿名使用。

authc:例如/admins/user/**=authc表示需要认证才能使用，没有参数

authcBasic：例如/admins/user/**=authcBasic没有参数表示httpBasic认证

ssl:例子/admins/user/**=ssl没有参数，表示安全的url请求，协议为https

user:例如/admins/user/**=user没有参数表示必须存在用户，当登入操作时不做检查

 

这些过滤器分为两组，一组是认证过滤器，一组是授权过滤器。其中anon，authcBasic，auchc，user是第一组，

perms，roles，ssl，rest，port是第二组

 

安全认证的步骤：认证，授权

认证：是谁

授权：能干什么

Subject:主题，当前用户（不一定是具体的人，可以使任何东西，如网络爬虫，机器人，某一进城，使一抽象概念）

SecurityManage:认证管理器，类似于springMVC的前端控制器DispacthServlet，管理所有的Subject

Realm:领域，类似于DataSource安全数据源，SecurityManager要验证身份，就必须通过Realm获取相应的用户进行比较，确定用户身份是否合法。

 

身份验证：

    Shiro通过principal（身份）和credential（证明）验证用户身份。最常见的pincipal和credential就是用户名/密码了

 

 在Spring的applicationContext.xml中添加shiro配置 

<bean id="shiroFilter" class="org.apache.shiro.spring.web.ShiroFilterFactoryBean">
		<property name="securityManager" ref="securityManager" />
		<property name="loginUrl" value="/login" />
		<property name="successUrl" value="/login/loginSuccessFull" />
		<property name="unauthorizedUrl" value="/login/unauthorized" />
		<property name="filterChainDefinitions">
			<value>
				/home* = anon
				/ = anon
				/logout = logout
				/role/** = roles[admin]
				/permission/** = perms[permssion:look]
				/** = authc
			</value>
		</property>
	</bean>

securityManager：这个属性是必须的。

loginUrl：没有登录的用户请求需要登录的页面时自动跳转到登录页面，不是必须的属性，不输入地址的话会自动寻找项目web项目的根目录下的”/login.jsp”页面。

successUrl：登录成功默认跳转页面，不配置则跳转至”/”。如果登陆前点击的一个需要登录的页面，则在登录自动跳转到那个需要登录的页面。不跳转到此。

unauthorizedUrl：没有权限默认跳转的页面。

过滤器简称 过滤器简称

对应的java类

 shiro在注解模式下，登陆失败，与没有权限都是通过抛出异常，并且默认没有处理或捕获这些异常，unauthorizedUrl将失效，要通过springMVC配置捕获相应异常来处理。

<bean id="exceptionResolver" class="org.springframework.web.servlet.handler.SimpleMappingExceptionResolver">
<property name="defaultErrorView" value="ijams/common/error" />
<property name="exceptionMappings"> 
      <props> 
         <prop key="org.apache.shiro.authz.UnauthorizedException">/error/403</prop>
        </props> 
</property> 

</bean>