前言: 在前后端项目中, 前端有可能会要求, 后台返回一个 sessionId 给他, 然后他在请求后台接口时, 把这个sessionId 带给后台, 后台拿到这个sessionId , 就能识别, 是那个用户. 在shiro中, 会返回一个 JSESSIONID , 其实就是sessionId . 如果不想把sessionId 放在参数中, 或者贴在链接后面, 暴露给用户, 那么我们还能选择把 sessionId 放在请求头中, 这样比较隐秘一些. 不会那么明显. 一.  DefaultWeb

/** * 3.会话管理器 */ public DefaultWebSessionManager sessionManager() { CustomSessionManager sessionManager = new CustomSessionManager(); //shiro 的session默认放在cookie中 禁用 sessionManager.setSessionIdCookieEnabled(false); //禁用url 重写 url; shiro请求时默认 jsessionI

在尝试保护你的应用时,你是否有过挫败感?是否觉得现有的Java安全解决方案难以使用,只会让你更糊涂?本文介绍的Apache Shiro,是一个不同寻常的Java安全框架,为保护应用提供了简单而强大的方法.本文还解释了Apache Shiro的项目目标.架构理念以及如何使用Shiro为应用安全保驾护航. 什么是Apache Shiro? Apache Shiro(发音为“shee-roh”,日语“堡垒(Castle)”的意思)是一个强大易用的Java安全框架,提供了认证.授权.加密和会话管理功能,

其实,关于这个问题有三种种解决方法: 1)从响应数据里面提取JSESSIONID,点击链接可以查看https://www.cnblogs.com/liulinghua90/p/5320290.html 2)如果响应数据里面没有返回JSESSIONID,那么就可以保持cookie,今天这篇博客,我们重点讲解第这种方法. 3)如果响应头里面有这个JSESSIONID,我们可以通过添加cookie来解决这个问题,点击链接可以查看:https://www.cnblogs.com/liulinghua90

近期有柠檬班的学生找到华华,问了一个问题,就是利用Jmeter做接口测试的时候,如何提取头部的JSESSIONID然后传递到下一个请求,继续完成当前用户的请求. 其实,关于这个问题有三种种解决方法: 1)从响应数据里面提取JSESSIONID,点击链接可以查看https://www.cnblogs.com/liulinghua90/p/5320290.html 2)如果响应数据里面没有返回JSESSIONID,那么就可以保持cookie,点击链接可以查看:https://www.cnblogs.

利用Jmeter做接口测试的时候,如何提取头部的JSESSIONID然后传递到下一个请求,继续完成当前用户的请求. 一.如果响应数据里面没有返回JSESSIONID,直接添加http cookies manager那么就可以保持cookie. 二.从响应数据里面提取JSESSIONID. 有时在http请求页面中“路径”会看到网页链接引用:http://www.xxx.com/xxx_app;jsessionid=${jsessionid}.或者网页链接后显示:?jsessionid   或者显

近期有柠檬班的学生找到华华,问了一个问题,就是利用Jmeter做接口测试的时候,如何提取头部的JSESSIONID然后传递到下一个请求,继续完成当前用户的请求. 其实,关于这个问题有三种种解决方法: 1)从响应数据里面提取JSESSIONID,点击链接可以查看https://www.cnblogs.com/liulinghua90/p/5320290.html 2)如果响应数据里面没有返回JSESSIONID,那么就可以保持cookie,今天这篇博客,我们重点讲解第这种方法. 3)如果响应头里面

Apache Shiro:[1]Shiro基础及Web集成 Apache Shiro是什么 Apache Shiro是一个强大且易于使用的Java安全框架,提供了认证.授权.加密.会话管理,与spring Security 一样都是做一个权限的安全框架,但是与Spring Security 相比,在于 Shiro 使用了比较简单易懂易于使用的授权方式.shiro属于轻量级框架,相对于security简单的多.它可以适用于命令行程序.移动开发以至大型的企业级Web应用. Shiro提供了安全的AP

ylbtech-Java-Shiro:Shiro 1.返回顶部 1. Apache Shiro是一个强大且易用的Java安全框架,执行身份验证.授权.密码和会话管理.使用Shiro的易于理解的API,您可以快速.轻松地获得任何应用程序,从最小的移动应用程序到最大的网络和企业应用程序.   软件名称:Apache Shiro 开发商:Apache 性    质:Java安全框架 主要功能 三个核心组件:Subject, SecurityManager 和 Realms. Subject:即“当前操

一.HTTP协议 HTTP协议是一个无状态协议,服务器无法判断若干个请求是否来自同一个浏览器,无法与浏览器进行会话. 二.HTTP会话控制:Cookie Cookie技术是使用在浏览器端的一种缓存技术, 在浏览器第一次向服务器发出请求,在服务器端会创建Cookie对象,并以键值对的形式在响应头中返回.下一次向服务器发送请求时,会在请求头中将Cookie信息携带. 1.Cookie的创建与返回 在服务器端通过 new Cookie(key, value)的方式创建. 并以response.addC

如今的系统多不是孤军奋战,在多结点会话共享管理方面有着各自的解决办法,比如Session粘连,基于Web容器的各种处理等或者类似本文说的完全接管Web容器的Session管理,只是做法不尽相同. 而本文说的是Apache-Shiro+Zookeeper来解决多结点会话管理,Shiro一个优秀的权限框架,有着很好的扩展性,而Zookeeper更是让你激动不已的多功能分布式协调系统,在本例中就用它来做Shiro的会话持久容器! 在有过Shiro和Zookeeper开发后这一切都非常容易理解,实现过程

cookie和session的代码实现 1.设置cookie 今天笔试题考的是cookie的设置,我竟然选了request也可以设置cookie,我的天呀. 我们来看如何在response设置吧 public void service(HttpServletRequest req,HttpServletResponse resp) throws ServletException,IOException{ Cookie c = new Cookie("name","jenkin

Session和Cookie这两个概念,在学习java web开发之初,大多数人就已经接触过了.最近在研究跨域单点登录的实现时,发现对于Session和Cookie的了解,并不是很深入,所以打算写两篇文章记录一下自己的理解.在我们的应用集成Spring Session之前,先补充一点Session和Cookie的关键知识. Session与Cookie基础 由于http协议是无状态的协议,为了能够记住请求的状态,于是引入了Session和Cookie的机制.我们应该有一个很明确的概念,那就是Se

Session和Cookie这两个概念,在学习java web开发之初,大多数人就已经接触过了.最近在研究跨域单点登录的实现时,发现对于Session和Cookie的了解,并不是很深入,所以打算写两篇文章记录一下自己的理解.在我们的应用集成Spring Session之前,先补充一点Session和Cookie的关键知识. Session与Cookie基础 由于http协议是无状态的协议,为了能够记住请求的状态,于是引入了Session和Cookie的机制.我们应该有一个很明确的概念,那就是Se

shiro异步请求返回JSON响应 需求1:当shiro请求资源,但是没有进行认证时,默认是进行重定向,现在需要返回JSON响应.注意异步请求,服务器重定向后,ajax拿到的是浏览器重定向后的到的页面源码. 解决2: 自定义FormAuthenticationFilter.覆盖onAccessDenied方法.返回JSON字符串.并将自定义的过滤器添加到ShiroFilterFactoryBean,键的名称为authc. 需求2:ShiroFilterFactoryBean用注解时,过滤的url

第一次学习shiro的时候,并没有发现很大的问题.但后来在做项目的时候,特别是当访问的url是iframe的页面的时候,session又过期了,跳转到登陆页,完成登陆操作后,返回了只有iframe的页面,相当不好看.虽然在shiro里设置了successUrl,但是没有起作用. 不明真相的我,debug后跟进去观察后发现FormAuthenticationFilter成功登陆后,会调用它的onLoginSuccess方法,最后会调用下面这个实际执行的方法. WebUtils.redirectTo

前言: 在前后端分离的项目中, 在使用shiro的时候, 我们绝大部分时候, 并不想让浏览器跳转到那个页面去, 而是告诉前端, 你没有登录, 或者没有访问权限. 那这时候, 我们就需要返回json字符串给前端, 让前端解析后, 根据状态执行相应的操作. 实现: 由于我现在的系统, 权限并不复杂, 所以在这里, 我自定义了一个过滤器. 当然, 如果想要更加省事, 可以继承user(org.apache.shiro.web.filter.authc.UserFilter) 或者 authc(org.

前言 参数关联是接口测试和性能测试最为重要的一个步骤,很多接口的请求参数是动态的,并且需要从上一个接口的返回值里面取出来,一般只能用一次就失效了. 最常见的案例就是网站的登录案例,很多网站的登录并不仅仅只传username和psw两个参数,往往有其它的动态参数. 有时候还需要带上cookies参数,如JSESSIONID 登录参数 首先分析下目标网站[学信网:https://account.chsi.com.cn/passport/login]的登录接口请求参数. 先随便输入账号和密码,使用fi

Shiro框架默认认证失败后会返回到登录页面,在前后端分离项目中,需要返回JSON数据,以便前端或者app端解析处理. 实现方式: 1. 扩展shiro框架的UserFilter类,重写redirectToLogin方法. public class ShiroUserFilter extends UserFilter { @Override protected void redirectToLogin(ServletRequest request, ServletResponse respons

问题描述: 我在项目中的某个Controller上添加了@RequirePermissions注解,希望在执行该请求前,可以先进行权限验证.但是当我请求该Controller时,返回的确是404错误. 首先我怀疑的是因为权限不足而抛出了404错误.但是我发现我在AController的请求方法1上加了@RequiresPermession注释,但是请求方法2同样也报了404错误.所以应该不是shiro对权限进行了拦截,更像是整个controller的请求映射都没被Spring正常解析. 哪个步骤

经过查找论坛和分析源码,确认了是在ShiroHttpServletResponse里加上的. 因此继承ShiroHttpServletResponse类,覆盖相应方法,再重写 ShiroFilterFactoryBean就可以把添加JSESSIONID部分去掉. 重写ShiroHttpServletResponse Java代码 public class MyShiroHttpServletResponse extends ShiroHttpServletResponse { public My