【Shiro学习笔记】二、Shiro过滤器执行链路梳理(认证和授权)
PS:欢迎转载,但请注明出处,谢谢配合。
Shiro过滤器执行链路梳理
一、前言
本文章主要针对认证过滤器(FormAuthenticationFilter)和授权过滤器(RolesAuthorizationFilter),说明Shiro过滤器拦截到请求后,是如何一步步执行到认证过滤器和授权过滤器中的方法,最终调用到Realm中的方法。
补充说明:文章中的源码,基于shiro-web-1.4.0.jar(通过shiro-spring-1.4.0.jar传递依赖而来)。
二、Shiro过滤器是如何加入Spring容器中的
Shiro集成时,会定义一个bean: ShiroFilterFactoryBean,实现了FactoryBean接口,根据spring原理可知,实现该接口的类返回给spring容器的bean实际是调用getObject()方法返回的。该方法最后返回的是一个SpringShiroFilter,其父类实现了javax.servlet.Filter接口(web应用过滤器接口),从而将shiro过滤器加入到了springboot应用中,进而添加到servelt容器中进行拦截请求。
具体UML类图如下:
三、过滤器作用
1、认证过滤器(FormAuthenticationFilter)
可以指定某些url,必须登录后才可进行访问,否则拒绝访问。
2、授权过滤器(RolesAuthorizationFilter)
可以指定某些url,必须具有哪些role角色,才可进行访问,否则拒绝访问
四、过滤器执行链路梳理
1、由最上面的UML类图中可知,Shiro过滤器的入口方法为OncePerRequestFilter中的doFilter方法,到具体过滤器的执行链路如下:
2、其中,RolesAuthorizationFilter的isAccessAllowed方法,最终会执行到业务Realm的 doGetAuthorizationInfo 方法(授权方法)
3、业务Realm 的 doGetAuthenticationInfo 方法(认证方法),是在登录Controller中调用 subject.login 方法,最终执行到的
五、认证和授权过滤器的执行优先级
从测试效果来看,shiro中的授权过滤器,执行优先级比认证过滤器要高:
先进入了授权过滤器,再进入了认证过滤器。
通过查看AdviceFilter源码,发现doFilterInternal方法如下,与上面描述相符。