即使换版本，shiro仍然是你的盾：解决1.8.0拦截器不生效问题

后端

2024-01-30 12:55:53

Apache Shiro拦截器升级指南：解决拦截路径失效问题

升级困局

当您怀着期待将Apache Shiro版本从1.6.0升级到1.8.0时，却发现登录拦截路径不生效了，任何请求都可以轻松通过，犹如一座形同虚设的堡垒。难道是版本更新带来了意想不到的副作用？

真相揭秘

别担心，这不是您代码的错。这是Apache Shiro在版本升级后，对拦截器配置所做的细微调整造成的。为了解开这个谜团，让我们一起探索问题所在，并找到解决方案，重新筑牢应用程序的安全防线。

Apache Shiro拦截器机制

Apache Shiro的拦截器是一种用于控制请求访问权限的安全组件。它可以在请求到达应用程序之前对其进行检查，并根据预先定义的规则决定是否允许请求继续执行。Shiro提供了一系列内置拦截器，您可以根据需要在应用程序中启用它们。

拦截器配置变迁

在Shiro 1.6.0版本中，启用拦截器的配置非常简单，您只需要在shiro.ini配置文件中添加相应的配置项即可。然而，在Shiro 1.8.0版本中，启用拦截器的配置方式发生了变化。您需要在Java代码中显式地注册拦截器，然后才能在应用程序中使用它们。

解决之道

因此，如果您在升级Shiro版本后发现拦截器不生效，您需要检查是否正确地注册了拦截器。具体来说，您需要在Shiro的SecurityManager中注册拦截器。您可以通过以下代码来完成此操作：

SecurityManager securityManager = new DefaultSecurityManager();
securityManager.setAuthenticator(new ShiroDbRealm());
securityManager.setAuthorizer(new ShiroDbAuthorizer());

List<Filter> filters = new ArrayList<>();
filters.add(new ShiroFormAuthenticationFilter());
filters.add(new ShiroRolesAuthorizationFilter());
securityManager.setFilters(filters);

SubjectFactory subjectFactory = new ShiroSubjectFactory();
subjectFactory.setSecurityManager(securityManager);
Subject currentUser = subjectFactory.getSubject();

WebSubject.Builder builder = new WebSubject.Builder(currentUser, null, filters);
builder.setSessionId(sessionId);
builder.setServletRequest(request);
builder.setServletResponse(response);
WebSubject subject = builder.buildWebSubject();