Spring Boot Shiro在Web應用中的作用詳解

01-Tomcat 中的 Filter 責任鏈

在前面的文章中，我介紹瞭如何使用 Apache Shiro 進行安全認證。 其實 Shiro 在 Web 應用中出現的頻率更高。 今天我將來分析下，Shiro 是如何應用到 Web 應用中的。

Servlet 規範中定義了 Filter 和 FilterChain 介面，其中都包含一個 doFilter 方法，不過引數有區別：

• Filter#doFilter(ServletRequest request, ServletResponse response, FilterChain chain)
• FilterChain#doFilter(ServletRequest request, ServletResponse response)

Tomcat 中對 FilterChain 的實現是 org.apache.catalina.core.ApplicationFilterChain，它包括：

• ApplicationFilterConfig[] filters; 陣列，用來儲存鏈中的 Filter，ApplicationFilterConfig 是 Filter 的設定類，通過 ApplicationFilterConfig#getFilter() 可獲得對應的 Filter。
• int pos; 表示鏈當前位置。
• int n; 表示 FilterChain 中 Filter 的數量，即 filters 中元素數量。
• Servlet servlet; 表示應用的 Servlet 實現。

ApplicationFilterChain#doFilter 的實現邏輯：

• 如果 pos < n，即尚未執行到連結串列末端，則呼叫 filters[pos++].getFilter().doFilter(req, res, chain)，執行當前 Filter 的 doFilter 方法。
• 如果 pos >= n，說明連結串列中所有的 Filter 都執行完畢，則呼叫 servlet.service(request, response);，執行業務層邏輯。

綜上，ApplicationFilterChain 會檢查是否有 Filter 需要執行，如果有，則呼叫 Filter；否則，則將請求交給 Servlet 處理。 Filter 在其 doFilter 方法中，能夠拿到當前 Filter 所述的 FilterChain 物件。 在執行完 Filter 後，根據自身邏輯判斷是否需要繼續將請求傳遞給 chain 上的後續 Filter 處理，若需要，則呼叫 chain 的 doFilter 方法。

02-Shiro 中的 filter 鏈結構

Shiro 中對 FilterChain 的實現是 org.apache.shiro.web.servlet.ProxiedFilterChain，它包括：

• FilterChain orig; 它是 Tomcat 中的 FilterChain 範例。
• List<Filter> filters; 是 Shiro 中要執行的安全相關的 Filter（它們也都是實現了 Servlet Filter 的類）。
• int index; 與 ApplicationFilterChain 中的 pos 異曲同工之妙。

ProxiedFilterChain#doFilter 的實現邏輯：

• 如果 filters == null || index = filters.size() 說明 Shiro 中安全相關的鏈已執行完畢，則呼叫 orig.doFilter(req, res)
• 否則，說明鏈中當其 Filter 需要執行，則呼叫 filters.get(index++).doFilter(request, response, this);

03-shiro-filters 如何與 servlet 中的 filter 關聯起來

org.apache.shiro.web.servlet.OncePerRequestFilter 實現了 Servlet 中的 Filter 介面，org.apache.shiro.web.servlet.AbstractShiroFilter 是 OncePerRequestFilter 的基本實現。 因此，AbstractShiroFilter 的派生類都能作為 Filter 新增到 Servlet 的責任鏈中，即 ApplicationFilterChain 的 filters 中。

Shiro 將 AbstractShiroFilter 的一個實現 org.apache.shiro.spring.web.ShiroFilterFactoryBean.SpringShiroFilter 新增到 filters 中，並命名為 "shiroFilter"。 該類的繼承關係如下：

注：org.apache.shiro.web.servlet.OncePerRequestFilter 與 Spring 中的 OncePerRequestFilter 同名，但實現不同。

將 shiroFilter 新增到 filters 中的邏輯在 org.apache.shiro.spring.config.web.autoconfigure.ShiroWebFilterConfiguration 中：

@Bean(name = REGISTRATION_BEAN_NAME)
@ConditionalOnMissingBean(name = REGISTRATION_BEAN_NAME)
protected FilterRegistrationBean<AbstractShiroFilter> filterShiroFilterRegistrationBean() throws Exception {

    FilterRegistrationBean<AbstractShiroFilter> filterRegistrationBean = new FilterRegistrationBean<>();
    filterRegistrationBean.setDispatcherTypes(DispatcherType.REQUEST, DispatcherType.FORWARD, DispatcherType.INCLUDE, DispatcherType.ERROR);
    filterRegistrationBean.setFilter((AbstractShiroFilter) shiroFilterFactoryBean().getObject());  // SpringShiroFilter 範例
    filterRegistrationBean.setName(FILTER_NAME);    // "shiroFilter"
    filterRegistrationBean.setOrder(1);

    return filterRegistrationBean;
}
複製程式碼

使用 DEBUG 方式 Shiro Web 應用，也可以佐證上述觀點：

Shiro 在 OncePerRequestFilter 中實現了 Filter#doFilter 方法，並在該方法中將過濾器的處理邏輯交由其定義的模板方法 doFilterInternal 來實現。 AbstractShiroFilter 提供了對 doFilterInternal 的基本實現：

將 HttpServletRequest 包裝成 ShiroHttpServletRequest

將 HttpServletResponse 包裝成 ShiroHttpServletResponse

• 建立 WebSubject

executeChain(request, response, origChain);，其中 origChain 是 Tomcat 處理請求響應的 ApplicationFilterChain，即 shiroFilter 所在的 chain。

chain = PathMatchingFilterChainResolver#getChain(request, response, origChain); chain 是前面提到的 ProxiedFilterChain 範例。

chain.doFilter(request, response);，相當於將請求交給 shiro-filter 組成的 chain 處理，大體流程與 ApplicationFilterChain 類似。

當請求經過 ApplicationFilterChain 處理，進入到 shiroFilter 時，它的 doFilter 方法（在 OncePerRequestFilter 中）將請求交給 doFilterInternal 方法（在 AbstractShiroFilter 中）處理。 然後會執行與請求路徑相關聯的 shiro-filter 組成的 chain 對請求、響應進行處理。 下圖是 shiro-chain 與 application chain 之間的關係，可以參考下幫助加深理解。

04-總結

今天介紹了 Tomcat 中 Filter 責任鏈的作用原理以及 Shiro 中實現的安全相關的 Filter 責任鏈。 並且，還分析了 Shiro 是如何作為一個 Filter 應用到 Web 應用的。 綜上，我們瞭解了一個請求是如何經過層層 Filter 到達 Servlet 中的，也瞭解了 Shiro 是如何在這個流程中發揮安全認證作用的。 希望以上的內容能對你有所幫助。

以上就是Spring Boot Shiro在Web應用中的作用詳解的詳細內容，更多關於Spring Boot Shiro Web的資料請關注it145.com其它相關文章！