shiro提供了记住我(rememberme)的功能,比如访问如淘宝等一些网站时,关闭了浏览器下次再打开时还是能记住你是谁,下次访问时无需再登录即可访问,基本流程如下:
1、首先在登录页面选中rememberme然后登录成功;如果是浏览器登录,一般会把rememberme的cookie写到客户端并保存下来;
2、关闭浏览器再重新打开;会发现浏览器还是记住你的;
3、访问一般的网页服务器端还是知道你是谁,且能正常访问;
4、但是比如我们访问淘宝时,如果要查看我的订单或进行支付时,此时还是需要再进行身份认证的,以确保当前用户还是你。
rememberme配置
spring-shiro-web.xml配置:
java代码
<!-- 会话cookie模板 --> <bean id="sessionidcookie" class="org.apache.shiro.web.servlet.simplecookie"> <constructor-arg value="sid"/> <property name="httponly" value="true"/> <property name="maxage" value="-1"/> </bean> <bean id="remembermecookie" class="org.apache.shiro.web.servlet.simplecookie"> <constructor-arg value="rememberme"/> <property name="httponly" value="true"/> <property name="maxage" value="2592000"/><!-- 30天 --> </bean>
sessionidcookie:maxage=-1表示浏览器关闭时失效此cookie;
remembermecookie:即记住我的cookie,保存时长30天;
java代码
<!-- rememberme管理器 --> <bean id="remembermemanager" class="org.apache.shiro.web.mgt.cookieremembermemanager"> <property name="cipherkey" value=" #{t(org.apache.shiro.codec.base64).decode('4avvhmflus0kta3kprsdag==')}"/> <property name="cookie" ref="remembermecookie"/> </bean>
rememberme管理器,cipherkey是加密rememberme cookie的密钥;默认aes算法;
java代码
<!-- 安全管理器 --> <bean id="securitymanager" class="org.apache.shiro.web.mgt.defaultwebsecuritymanager"> …… <property name="remembermemanager" ref="remembermemanager"/> </bean>
设置securitymanager安全管理器的remembermemanager;
java代码
<bean id="formauthenticationfilter" class="org.apache.shiro.web.filter.authc.formauthenticationfilter"> …… <property name="remembermeparam" value="rememberme"/> </bean>
remembermeparam,即rememberme请求参数名,请求参数是boolean类型,true表示rememberme。
java代码
<bean id="shirofilter" class="org.apache.shiro.spring.web.shirofilterfactorybean"> …… <property name="filterchaindefinitions"> <value> /login.jsp = authc /logout = logout /authenticated.jsp = authc /** = user </value> </property> </bean>
“/authenticated.jsp = authc”表示访问该地址用户必须身份验证通过(subject. isauthenticated()==true);而“/** = user”表示访问该地址的用户是身份验证通过或rememberme登录的都可以。
测试:
1、访问,会跳转到登录页面,登录成功后会设置会话及rememberme cookie;
2、关闭浏览器,此时会话cookie将失效;
3、然后重新打开浏览器访问,还是可以访问的;
4、如果此时访问,会跳转到登录页面重新进行身份验证。
如果要自己做rememeberme,需要在登录之前这样创建token:usernamepasswordtoken(用户名,密码,是否记住我),如:
java代码
subject subject = securityutils.getsubject(); usernamepasswordtoken token = new usernamepasswordtoken(username, password); token.setrememberme(true); subject.login(token);
subject.isauthenticated()表示用户进行了身份验证登录的,即使有subject.login进行了登录;subject.isremembered():表示用户是通过记住我登录的,此时可能并不是真正的你(如你的朋友使用你的电脑,或者你的cookie被窃取)在访问的;且两者二选一,即subject.isauthenticated()==true,则subject.isremembered()==false;反之一样。
另外对于过滤器,一般这样使用:
访问一般网页,如个人在主页之类的,我们使用user拦截器即可,user拦截器只要用户登录(isremembered()==true or isauthenticated()==true)过即可访问成功;
访问特殊网页,如我的订单,提交订单页面,我们使用authc拦截器即可,authc拦截器会判断用户是否是通过subject.login(isauthenticated()==true)登录的,如果是才放行,否则会跳转到登录页面叫你重新登录。
因此rememberme使用过程中,需要配合相应的拦截器来实现相应的功能,用错了拦截器可能就不能满足你的需求了。
总结
以上所述是小编给大家介绍的shiro之记住登录信息,希望对大家有所帮助
如对本文有疑问, 点击进行留言回复!!
【奥鹏作业答案库网】大工20春《应用统计》在线作业1【奥鹏作业答案】
网友评论