shiro

shiroFilter 中的 isAccessAllowed

/**

 * 这里我们详细说明下为什么最终返回的都是true，即允许访问

 * 例如我们提供一个地址 GET /article

 * 登入用户和游客看到的内容是不同的

 * 如果在这里返回了false，请求会被直接拦截，用户看不到任何东西

 * 所以我们在这里返回true，Controller中可以通过 subject.isAuthenticated() 来判断用户是否登入

 * 如果有些资源只有登入用户才能访问，我们只需要在方法上面加上 @RequiresAuthentication 注解即可

 * 但是这样做有一个缺点，就是不能够对GET,POST等请求进行分别过滤鉴权(因为我们重写了官方的方法)，但实际上对应用影响不大

 */

Filter

所有的请求都会先经过 Filter，继承官方的 BasicHttpAuthenticationFilter，并且重写鉴权的方法。

* <p>

* 代码的执行流程 preHandle -> isAccessAllowed -> isLoginAttempt -> executeLogin 

Realm

用户验证以及权限验证的地方，用户验证多加了一个校验，就是我们当前请求的 token 中包含的时间戳与缓存中的 RefreshToken 对比，一致才验证通过。

现在只做了认证，还没做授权

Header中如果包含Authornizatioin，则需要判断鉴权，如果不包含则按游客处理