一.背景

公司新项目淘宝客返利项目，由我负责后端开发接口，经过了解，淘宝客项目分为移动端（IOS，安卓）和PC端（后台管理页面），移动端要求登陆后30天内免登陆，所以我选择了用shiro来实现权限控制。

二.选用技术

基础框架:springmvc+mybatis

安全框架：shiro

存储：mysql+redis

三.实现流程

统一登陆.png

四.具体实现

问题一：
shiro是通过以来cookie 来实现的登陆,在app端是没有cookie这一说的，所以，决定用shiro来生成token，完成登陆。
解决方案：
在登陆的时候，生成一个uuid当作token，把token当作key，userInfo当作value存入redis中，并返回给前端token，每次请求必须把token带入请求头中。

    public ResponseEntity login(@RequestBody LoginUserEntity loginUserEntity) {
        if (StringUtils.isEmpty(loginUserEntity.getMobile()) && StringUtils.isEmpty(loginUserEntity.getUnionId())) {
            return new ResponseEntity<>(new Result<>(ErrorCode.ILLEGAL_PARAMETER), HttpStatus.OK);
        }
        try {
            TbkUserNameToken token = new TbkUserNameToken(loginUserEntity);
            SecurityUtils.getSubject().login(token);
        } catch (UnknownAccountException e) {
            return new ResponseEntity(new Result<>(ErrorCode.USER_NO_EXIST), HttpStatus.OK);
        } catch (IncorrectCredentialsException e) {
            return new ResponseEntity(new Result<>(ErrorCode.PASSWORD_ERROR), HttpStatus.OK);
        } catch (AccountException e) {
            return new ResponseEntity(new Result<>(ErrorCode.MOBILE_CODE_ERROR), HttpStatus.OK);
        } catch (UnsupportedTokenException e) {
            return new ResponseEntity(new Result<>(ErrorCode.SYSTEM_ERROR), HttpStatus.OK);
        }
        UserInfo token = (UserInfo) SecurityUtils.getSubject().getPrincipal();
        return new ResponseEntity<>(new Result<>(token), HttpStatus.OK);
    }

问题二：
由于app是用户入口，pc端是管理员入口，所以，又一个简单的权限验证，我把这权限分为了3中，登陆后权限，不登陆权限，登陆后admin权限，自定义了一个user的权限，user['admin']

    <bean id="shiroFilter" class="org.apache.shiro.spring.web.ShiroFilterFactoryBean">
        <!-- Shiro的核心安全接口,这个属性是必须的 -->
        <property name="securityManager" ref="securityManager"/>
        <!-- 身份认证失败，则跳转到登录页面的配置 -->
        <property name="loginUrl" value="/index"/>
        <!-- 权限认证失败，则跳转到指定页面 -->
        <property name="unauthorizedUrl" value="/index"/>
        <!--登陆成功-->
        <property name="successUrl" value="/index"/>
        <property name="filters">
            <util:map>
                <entry key="user" value-ref="tokenUserFilter"></entry>
            </util:map>
        </property>
        <!-- Shiro连接约束配置,即过滤链的定义 -->
        <property name="filterChainDefinitions">
            <value>
                /favorite/** = user
                /autm/** = user['admin']
                /admin/** = user['admin']
                /jhs/** = user['admin']
                /wx/** = user['admin']
                /fans/** = user
                /share/item/** = user
                /account/** =user
                /cash/** = user
                /usercenter/** = user
                /** = anon
            </value>
        </property>

当需要用户登陆时候才能访问的路径，我标志为user，当需要用户登陆，并且具有admin权限的时候，我对路径验证是需要user['admin']权限的，其他的属于开放权限 anon
问题三：
权限验证时，如果出现问题，需要返回给前端明确的错误码。

    protected boolean isAccessAllowed(ServletRequest req, ServletResponse response, Object mappedValue) {

        HttpServletRequest request = (HttpServletRequest) req;
        String token = request.getHeader("token");
        if (StringUtils.isEmpty(token)) {
            return false;
        }
        String s = redisClient.get(token);
        if (StringUtils.isEmpty(s)) {
            return false;
        }
        try {
            UserInfo userInfo = JSON.parseObject(s, UserInfo.class);
            if (userInfo == null) {
                return false;
            }
            if (mappedValue == null) {
                return true;
            }
            if (mappedValue != null && JSON.toJSONString(mappedValue).contains("admin")) {
                return userInfo.isAdmin();
            }
        } catch (Exception e) {
            logger.error("error access allowed", e);
        }
        return false;
    }
 返回fasle的时候，会调用下面方法：
    @Override
    protected boolean onAccessDenied(ServletRequest req, ServletResponse resp, Object mappedValue) throws Exception {
        HttpServletRequest request = (HttpServletRequest) req;
        HttpServletResponse response = (HttpServletResponse) resp;
        WebUtils.sendJson(JSON.toJSONString(new Result<>(ErrorCode.INVALID_USER)), response);
        return false;
    }

五.总结

本次项目时间非常紧，全部加起来只有1个月时间，要求全部功能上线，后端开发就我一个人，必须对接安卓，ios以及pc的前端，所以在设计shiro的登陆上，怎么简单怎么来的，从解决问题出发，不影响用户登陆为前提，用redis来控制过期时间，虽然本次登陆设计非常简单，但是从目前上线情况来看，还是非常靠谱的。
shiro对spring 的集成网上有很多的文章，我只是提供我自己的统一登陆方案，所以只是贴出来部分代码。同时记录下本次快速开发迭代的技术选型，希望后期不会有问题。不然我要跑路了