15. Spring Framework

    Shiro 的 JavaBean 兼容性使得它非常适合通过 Spring XML 或其他基于 Spring 的配置机制。 Shiro 应用程序需要一个具有单例SecurityManager 实例的应用程序。请注意，这不会是一个静态的单例，但应该只有一个应用程序能够使用的实例，无论它是否是静态单例的。

    这里是在 Spring 应用程序中启用应用程序单例 SecurityManager 的最简单的方法：

    Shiro 拥有对 Spring Web 应用程序的一流支持。在 Web 应用程序中，所有 Shiro 可访问的 web 请求必须通过一个主要的 Shiro 过滤器。该过滤器本身是极为强大的，允许临时的自定义过滤器链基于任何 URL 路径表达式执行。

    在Shiro 1.0 之前，你不得不在 Spring web 应用程序中使用一个混合的方式，来定义 Shiro 过滤器及所有它在 web.xml 中的配置属性，但在Spring XML 中定义 SecurityManager。这有些令人沮丧，由于你不能把你的配置固定在一个地方，以及利用更为先进的 Spring 功能的配置能力，如 PropertyPlaceholderConfigurer 或抽象 bean 来固定通用配置。

    现在在 Shiro 1.0 及以后版本中，所有 Shiro 配置都是在 Spring XML 中完成的，用来提供更为强健的 Spring 配置机制。

    以下是如何在基于 Spring web 应用程序中配置 Shiro：

    2. <filter>
    3.     <filter-name>shiroFilter</filter-name>
    4.     <init-param>
    5.         <param-name>targetFilterLifecycle</param-name>
    6.         <param-value>true</param-value>
    7.     </init-param>
    8. </filter>
    9. ...
    11. 放置到最前面(其他filter-mapping前面)，保证它是过滤器链中第一个起作用的 -->
    12. <filter-mapping>
    13.     <filter-name>shiroFilter</filter-name>
    14.     <url-pattern>/*</url-pattern>
    15. </filter-mapping>

    在你的 applicationContext.xml 文件中，定义 web 支持的SecurityManager 和 ‘shiroFilter’ bean 将会被 web.xml 引用。

    不论独立的应用程序还是 web 应用程序，都可以使用 Shiro 提供的注解进行安全检查。比如 @RequiresRoles, @RequiresPermissions 等。这些注解需要借助 Spring 的 AOP扫描使用 Shiro 注解的类，并在必要时进行安全逻辑验证。

    下面让我们看下如何开启注解，其实很简单，只要在applicationContext.xml 中定义两个 bean 即可。

    1. <bean class="org.springframework.aop.framework.autoproxy.DefaultAdvisorAutoProxyCreator" depends-on="lifecycleBeanPostProcessor"/>
    2. <bean class="org.apache.shiro.spring.security.interceptor.AuthorizationAttributeSourceAdvisor">
    3.     <property name="securityManager" ref="securityManager"/>

    Shiro 的 Spring 远程支持有两部分组成：远程调用的客户端配置和接收、处理远程调用的服务器端配置。

    当 Shiro 的 Server 端接收到一个远程方法调用时，与远程调用相关的Subject 必须在接收线程执行时绑定到接收线程上，这项工作通过在applicationContext.xml 中定义 SecureRemoteInvocationExecutor bean 完成。

    SecureRemoteInvocationExecutor 定义完成后，需要将它加入到Exporter 中，这个 Exporter 用于暴露向外提供的服务，而且 Exporter 的实现类由具体使用的远程处理机制和协议决定。定义 Exporter beans 请参照 Spring 的 Remoting 章节。

    1. <bean name="/someService" class="org.springframework.remoting.httpinvoker.HttpInvokerServiceExporter">
    2.     <property name="service" ref="someService"/>
    3.     <property name="serviceInterface" value="com.pkg.service.SomeService"/>
    4.     <property name="remoteInvocationExecutor" ref="secureRemoteInvocationExecutor"/>
    5. </bean>

    当远程调用发生时，负责鉴别信息的Subject需要告知server远程方法是谁发起的 。如果客户端是基于Spring的，那么这种关联可以通过Shiro的SecureRemoteInvocationFactory 完成。

    然后将SecureRemoteInvocationFactory 添加到与协议相关的Spring远程ProxyFactoryBean 中。

    以基于HTTP协议的远程ProxyFactoryBean为例。(remoteInvocationExecutor 属性引用自secureRemoteInvocationExecutor)

    1. <bean id="someService" class="org.springframework.remoting.httpinvoker.HttpInvokerProxyFactoryBean">
    2.     <property name="serviceUrl" value="http://host:port/remoting/someService"/>
    3.     <property name="serviceInterface" value="com.pkg.service.SomeService"/>

    我们希望这篇文档可以帮助你使用 Apache Shiro 进行工作，社区一直在不断地完善和扩展文档，如果你希望帮助 Shiro 项目，请在你认为需要的地方考虑更正、扩展或添加文档，你提供的任何点滴帮助都将扩充社区并且提升 Shiro。

    提供你的文档的最简单的途径是将它发送到用户或邮件列表

    译者注：如果对本中文翻译有疑议的或发现勘误欢迎指正，提问。