<!-- shiro 过滤器 start -->
    <!--spring容器查找名字为shiroFilter（filter-name）的bean并把所有Filter的操作委托给它。-->
    <filter>
        <filter-name>shiroFilter</filter-name>
        <filter-class>org.springframework.web.filter.DelegatingFilterProxy</filter-class>
        <!-- 设置true由servlet容器控制filter的生命周期 -->
        <init-param>
            <param-name>targetFilterLifecycle</param-name>
            <param-value>true</param-value>
        </init-param>
    </filter>
    <filter-mapping>
        <filter-name>shiroFilter</filter-name>
        <url-pattern>/*</url-pattern>
    </filter-mapping>
    <!-- shiro 过滤器 end -->

<?xml version="1.0" encoding="UTF-8"?>
<beans xmlns="http://www.springframework.org/schema/beans"
       xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance"
       xsi:schemaLocation="http://www.springframework.org/schema/beans
           http://www.springframework.org/schema/beans/spring-beans-4.0.xsd">
 
        <!--配置自定义Realm,需要继承AuthorizingRealm-->
        <bean id="myRealm" class="com.myshiro.shiro.MyRealm">
        </bean>
 
        <!--配置SecurityManager-->
        <bean id="securityManager" class="org.apache.shiro.web.mgt.DefaultWebSecurityManager">
            <property name="realm" ref="myRealm"/>
        </bean>
 
        <!--实现自己的登出过滤器-->
        <bean id="signOutFilter" class="com.myshiro.shiro.SignOutFilter">
            <!--配置登出重定向的路径-->
            <property name="redirectUrl" value="/logout.jsp"/>
        </bean>
 
        <!-- 配置 ShiroFilter bean: 该 bean 的 id 必须和 web.xml 文件中配置的 shiro filter 的 name 一致  -->
        <bean id="shiroFilter" class="org.apache.shiro.spring.web.ShiroFilterFactoryBean">
            <property name="securityManager" ref="securityManager"/>
            <!--配置登录页面，当未认证发送请求时，默认跳转的页面，即登录页面-->
            <property name="loginUrl" value="/views/login.jsp"/>
            <!--没有授权默认跳转的页面-->
            <property name="unauthorizedUrl" value="/noPermission.jsp"/>
            <!--配置登出过滤器-->
            <property name="filters">
                <map>
                    <entry key="logout" value-ref="signOutFilter"></entry>
                </map>
            </property>
            <!--配置资源过滤器链-->
            <property name="filterChainDefinitions">
                <value>
                    <!--anon表示不拦截，直接放行-->
                    /login = anon
                    <!-- authc 表示需要认证后才能访问，即需要登录后才可以访问，否则跳转到上面配置的登录页面-->
                    /authTest = authc
                    <!-- perms 表示需要有对应的权限才能访问的，
                        此处perms表示要登录认证成功，并且有对应的pernissionTest权限才可以进行访问
                        浏览器输入../permissionTest,回车，如果没有通过登录认证，则跳转到上面配置的登录页面；否则去进行授权验证，
                        如果，授权验证没有通过，则跳转到上面配置的未授权跳转的页面，否则可以访问对应的资源
                    -->
                    /permissionTest =  perms[/permissionTest]
                    <!--当角色是admin的时候才可以访问-->
                    /permissionTest2 = roles[admin]
                    <!--表示在访问url为signOut时,此时会执行登出logout操作,
                        这里如果不自定义登出过滤器，会默认使用LogoutFilter过滤器来自动完成登出操作，并不需要实现controller层对应的signOut方法
                        也可以自定义登出过滤器，需要继承LogoutFilter过滤器,这里我自定义了登出过滤器
                    -->
                    /signOut = logout
                </value>
            </property>
        </bean>
    
</beans>

public class MyRealm extends AuthorizingRealm{
    @Resource
    private UserService userService;
    /**
     * 授权
     * 此方法 只有在shiro的配置文件中配置了权限才会进行调用，例如配置了role,permission
     * @param pc
     * @return
     */
    @Override
    protected AuthorizationInfo doGetAuthorizationInfo(PrincipalCollection pc) {
        //根据自己系统规则的需要编写获取授权信息，这里为了快速入门只获取了用户对应角色的资源url信息
        //获取当前登录输入的用户名
        String username = (String) pc.fromRealm(getName()).iterator().next();
        if (username != null) {
            User user = null;
            try {
                //根据用户名查询对应的user
                user = userService.getByUserName(username);
            } catch (Exception e) {
                e.printStackTrace();
            }
            //根据用户获取对应的role，根据role获取对应的permission
            Set<Role> roleSet = user.getRoleSet();
            List<String> pers = new ArrayList<>();
            for(Role r:roleSet){
                Set<Permission> permissionSet = r.getPermissionSet();
                for(Permission p:permissionSet){
                    pers.add(p.getUrl());
                }
            }
            if (pers != null && !pers.isEmpty()) {
                SimpleAuthorizationInfo info = new SimpleAuthorizationInfo();
                for (String each : pers) {
                    //将权限资源添加到用户信息中  会与配置文件中配置的对应权限做对比
                    info.addStringPermission(each);
                }
                return info;
            }
        }
        return null;
    }
    /**
     * 认证，登录验证
     * @param at
     * @return
     * @throws AuthenticationException
     */
    @Override
    protected AuthenticationInfo doGetAuthenticationInfo(AuthenticationToken at) throws AuthenticationException {
        //获取存进shiro token中的用户信息,(token里的信息在Controller层的login方法里存的)
        UsernamePasswordToken token = (UsernamePasswordToken) at;
        String username = token.getUsername();
        if (username != null && !"".equals(username)) {
            User user = null;
            try {
                //根据用户名去数据库中查询对应的user
                user = userService.getByUserName(username);
                if (user != null) {
                //将数据库中的用户名，密码拿去和存在shiro token中的用户输入的用户名，密码做对比
                return new SimpleAuthenticationInfo(user.getUserName(), user.getPassword(), getName());
            }
            } catch (Exception e) {
                e.printStackTrace();
            }
        }
        return null;
    }
}

public class SignOutFilter extends LogoutFilter{
    @Override
    protected boolean preHandle(ServletRequest request, ServletResponse response) throws Exception {
        Subject subject = getSubject(request,response);
        String redirectUrl = getRedirectUrl(request,response,subject);
        try{
            subject.logout();
        }catch (Exception e){
            e.printStackTrace();
        }
        issueRedirect(request,response,redirectUrl);
        //这里返回false 代表不再去执行controller层的方法，
        // true代表还会去执行(如果需要在登出的controller里自定义一些东西，例如清除session或者cookie的一些信息，
        // 这个时候只需要返回true)
        return true;
    }
}

@Controller("LoginAction")
public class LoginAction extends BaseAction{
    @Resource
    private UserService userService;
    //接收表单填写的用户名 密码
    private String userName;
    private String password;
    public String login(){
        Subject subject = SecurityUtils.getSubject();
        //判断当前登录用户是否已经被认证，即是否已经登录了,如果已经登录了，再次发送登录的请求，就不再进行认证了
        if(!subject.isAuthenticated()){
            //没有登录  进行登录认证
            //将登录的用户名,密码存进shiro token中
            UsernamePasswordToken token = new UsernamePasswordToken(userName, password);
try{
                //去自己的MyRealm类中执行doGetAuthenticationInfo()方法,进行登录认证
                subject.login(token);
            } catch ( UnknownAccountException e ) {
                System.out.println("用户未注册!");
                return "error";
            } catch ( IncorrectCredentialsException e ) {
                System.out.println("密码错误!!");
                return "error";
            } catch ( LockedAccountException e ) {
                System.out.println("该账户不可用~");
                return "error";
            } catch ( ExcessiveAttemptsException e ) {
                System.out.println("尝试次数超限!!");
                return "error";
            }
            return "success";
        }
        return "success";
    }
    //认证测试
    public void authTest(){
        System.out.println("authTest------进来了");
    }
    //权限授权测试
    public void permissionTest(){
        System.out.println("permissionTest--------进来了");
    }
    //登出测试
    public String signOut(){
        System.out.println("controller---登出---------");
        //实现对session或者其他信息的清除
        return "success";
    }
    @Override
    public String getUserName() {
        return userName;
    }
    public void setUserName(String userName) {
        this.userName = userName;
    }
    public String getPassword() {
        return password;
    }
    public void setPassword(String password) {
        this.password = password;
    }
}