禁止ajax访问shiro管理的登录页面

在使用shiro的时候，对于用户权限的管理，相信很多人都已经很熟悉了。
今天，我这里简单的记录一下我自己调试过程中遇到的问题。主要是登录的操作，禁止通过ajax的方式进行访问。

shiro中，登录过程拒绝ajax的访问操作，主要在FormAuthenticationFilter里面实现的。更具体的说，应该是自己重写AccessControlFilter方法中的onAccessDenied方法。

为什么要禁止ajax的登录？安全的考虑！

先看看自己应用中重写的RdFormAuthenticationFilter，它继承于FormAuthenticationFilter，至于FormAuthenticationFilter和AccessControlFilter的关系，自己看shiro的源码吧。

public class RdFormAuthenticationFilter extends FormAuthenticationFilter {

    private String passwordParam;

    @Autowired

    @Qualifier("mqmKefuService")

    private IMqmKefuService mksService;

    @Override

    protected boolean onAccessDenied(ServletRequest request, ServletResponse response, Object mappedValue)

            throws Exception {

        if (request.getAttribute(getFailureKeyAttribute()) != null) {

            return true;

        }        

        HttpServletRequest httpServletRequest = (HttpServletRequest)request;

        if (isLoginSubmission(request, response)) {

            return executeLogin(request, response);

        } else {

            if ("XMLHttpRequest".equalsIgnoreCase(httpServletRequest.getHeader("X-Requested-With"))

                    || request.getParameter("ajax") != null) {

                HttpServletResponse res = WebUtils.toHttp(response);

                res.sendError(HttpServletResponse.SC_UNAUTHORIZED);

            }

            return true;

        }

    }

    @Override

    protected boolean onLoginSuccess(AuthenticationToken token, Subject subject,

                ServletRequest request, ServletResponse response) throws Exception {

        HttpServletRequest httpServletRequest = (HttpServletRequest)request;

        HttpServletResponse httpServletResponse = (HttpServletResponse)response;

        String username = (String)SecurityUtils.getSubject().getPrincipal();

        if(username == null){

            return true;

        }

        MqmKefu user = mksService.selectByUsername(username);

        SecurityUtils.getSubject().getSession().setAttribute(Constants.CURRENT_USER, user);        

        if ("XMLHttpRequest".equalsIgnoreCase(httpServletRequest.getHeader("X-Requested-With"))

                || request.getParameter("ajax") != null) {

            // 是ajax请求

            httpServletRequest.getRequestDispatcher("/login/timeout/success").forward(httpServletRequest, httpServletResponse);

        } else {

            //httpServletResponse.sendRedirect(httpServletRequest.getContextPath() + this.getSuccessUrl());

            String redirectUrl = httpServletRequest.getContextPath() + "/home";

            SavedRequest sr = WebUtils.getSavedRequest(request);

            //当用户地址的请求不是在地址栏输入，而是在页面上直接点击登录，那么SavedRequest返回值将会是空的。

            if(sr != null) {

                redirectUrl = sr.getRequestUrl();

            }

            httpServletResponse.sendRedirect(redirectUrl);

        }

        return false;

    }

    public String getPasswordParam() {

        return passwordParam;

    }

    public void setPasswordParam(String passwordParam) {

        this.passwordParam = passwordParam;

    }

}

AAAA。这里，重点是下面的这个代码片段：

if ("XMLHttpRequest".equalsIgnoreCase(httpServletRequest.getHeader("X-Requested-With"))

        || request.getParameter("ajax") != null) {

    HttpServletResponse res = WebUtils.toHttp(response);

    res.sendError(HttpServletResponse.SC_UNAUTHORIZED);

}

如何测试呢？很简单！
1. 将shiro的配置中，重写LogoutFilter，并将其redirectUrl的值配置为自己想要的内容，而不是原来默认的DEFAULT_REDIRECT_URL（值为/）。例如，将redirectUrl改为登录的url，这里是/usr/login.
2. 将前端页面的退出，一种用ajax的post或者get方式触发，一种用href直接配置url。
2.1 针对退出url （/usr/logout）以ajax的方式触发事件到后台，代码逻辑将会进入上述代码AAAA，且此时HTTP请求头部含有X-Requested-With。前端将收到401的错误，页面不跳转。
2.2 针对退出url以a标签的href方式，直接由浏览器以http调用后台服务的方式，则不会进入AAAA的代码逻辑。

针对上述的LogoutFilter的重写，可以看看配置文件：

    <bean id="sysUserFilter" class="com.roomdis.mqr.infra.shiro.SysUserFilter"/>

    <bean id="sysLogoutFilter" class="com.roomdis.mqr.infra.shiro.RdLogoutFilter">

        <property name="redirectUrl" value="/user/login"/>

    </bean>

    <bean id="jCaptchaValidateFilter" class="com.roomdis.mqr.infra.shiro.JCaptchaValidateFilter">

        <property name="jcaptchaEbabled" value="true"/>

        <property name="jcaptchaParam" value="jcaptchaCode"/>

        <property name="failureKeyAttribute" value="shiroLoginFailure"/>

    </bean>

    <bean id="filterChainManager" class="com.roomdis.mqr.infra.shiro.RdDefaultFilterChainManager">

        <property name="loginUrl" value="/user/login" />

        <property name="successUrl" value="/home" />

        <property name="unauthorizedUrl" value="/unauth" />

        <property name="customFilters">

            <util:map>

                <entry key="authc" value-ref="authcFilter"/>

                <entry key="sysUser" value-ref="sysUserFilter"/>

                <entry key="jCaptchaValidate" value-ref="jCaptchaValidateFilter"/>

                <entry key="logout" value-ref="sysLogoutFilter" />

            </util:map>

        </property>

        <property name="defaultFilterChainDefinitions">

            <value>

                / = anon

                /*.png = anon

                 /css/* = anon

                /js/** = anon

                /image/* = anon

                /index.html = anon

                /user/login = jCaptchaValidate,authc

                /jcaptcha* = anon

                /jcaptcha.jsp = anon

                /home = sysUser,user

                /logout = logout

                <!-- /home = authc, perms[/home]  perms 表示需要该权限才能访问的页面 -->

            </value>

        </property>

    </bean>

上述配置的红色部分，是重写LogoutFilter的对应bean的信息。

蓝色部分，要特别注意，logout的url，权限部分处理，必须是和自己代码逻辑中的重定向部分一致使用。例如这里的/logout，对应代码逻辑中的地方（红色）如下：

    /**

     * logout 即常说的登出操作

     *

     * @param req

     * @param rsp

     * @param model

     * @return

     */

    @GET

    @Path("/user/logout")

    @Produces(MediaType.APPLICATION_JSON)

    public void logout(@Context HttpServletRequest req, @Context HttpServletResponse rsp){

        Map<String, Object> infoMap = new HashMap<String, Object>();

        String basePath = basePath(req);

        String usernamep = req.getParameter("username");

        infoMap.put("basePath", basePath);

        SecurityUtils.getSubject().getSession().removeAttribute(Constants.CURRENT_USER);

        try {

            rsp.sendRedirect(req.getContextPath() + "/logout");

        } catch (IOException e) {

            e.printStackTrace();

        }

    }

前端的代码：

<p class="checkmove">

     <span class="fl sp_title">

        <#if username??>

            <label id="username">${username}</label>

            <a class=logout-btn href="${basePath}/user/logout">退出</a>         #能够正常运行，即不会触发401的错误的用法

            <!--

            <button class=button id="leave">退出</button>                       #这样子用，配合后台的ajax的方式触发，就会出现401的错误

             -->

        </#if>

        <select>

            <option value="">上线</option>

            <option value="">离开</option>

            <option value="">隐身</option>

            <option value="">下线</option>

        </select>

    </span>

</p>

下面上一个图，看看我的项目雏形！

巴特西

禁止ajax访问shiro管理的登录页面

最新文章

热门文章