shiro实现跨域访问

### 使用Apache Shiro实现CORS跨域资源共享 在Web应用程序中，跨域资源共享（CORS, Cross-Origin Resource Sharing）是一个常见的需求。当客户端请求来自不同的域名、协议或端口时，默认情况下浏览器会阻止这些请求以保护用户安全。为了使服务器能够响应不同源的HTTP请求并允许特定的操作，可以通过配置Apache Shiro来解决这个问题。 #### 配置Shiro Filter Chain定义中的自定义过滤器 为了让Shiro支持CORS，在`shiro.ini`文件或其他形式的FilterChainDefinitionMap里加入一个新的过滤器用于处理预检请求以及设置响应头： ```ini [main] corsFilter = org.apache.shiro.web.filter.authc.CorsFilter [urls] /** = corsFilter ``` 这段代码创建了一个名为`corsFilter`的对象实例化为`org.apache.shiro.web.filter.authc.CorsFilter`类，并将其应用到所有的URL路径上[^1]。 #### 自定义CorsFilter类 由于默认的Shiro并没有提供现成的支持CORS功能的过滤器，因此需要编写自己的过滤器逻辑。下面给出一个简单的例子展示如何构建这样一个过滤器： ```java import javax.servlet.Filter; import javax.servlet.ServletRequest; import javax.servlet.ServletResponse; import javax.servlet.http.HttpServletRequest; import javax.servlet.http.HttpServletResponse; public class CorsFilter implements Filter { @Override public void doFilter(ServletRequest req, ServletResponse res, FilterChain chain) throws IOException, ServletException { HttpServletResponse response = (HttpServletResponse) res; HttpServletRequest request= (HttpServletRequest)req; // 设置允许哪些来源可以访问资源 response.setHeader("Access-Control-Allow-Origin", "*"); // 设置允许的方法类型 response.setHeader("Access-Control-Allow-Methods", "GET, POST, PUT, DELETE, OPTIONS"); // 设置允许携带的头部信息 response.setHeader("Access-Control-Max-Age", "3600"); response.setHeader("Access-Control-Allow-Headers", "authorization, content-type," + "access-control-request-headers, access-control-request-method, accept"); if ("OPTIONS".equalsIgnoreCase(request.getMethod())) { response.setStatus(HttpServletResponse.SC_OK); } else { chain.doFilter(req, res); } } } ``` 此段Java代码实现了对所有传入请求添加必要的CORS响应头字段，从而使得前端可以从其他域发起AJAX调用而不会被同源策略所阻挡。对于预飞行（Preflight）请求即方法为`OPTIONS`的情况，则直接返回成功状态码而不执行后续操作；而对于正常的业务请求则继续传递给下一个过滤器或目标Servlet进行处理[^2]。 #### 注册自定义过滤器至Spring容器（如果适用） 如果是基于Spring的应用程序，还可以将上面提到的`CorsFilter`注册成为Bean以便于管理和依赖注入： ```xml <bean id="corsFilter" class="com.example.security.CorsFilter"/> <!-- 或者使用注解方式 --> @Component public class CorsFilter {...} ``` 接着更新`web.xml`或者对应的Spring MVC配置文件让其知道新加入的过滤器的存在： ```xml <filter> <filter-name>cors</filter-name> <filter-class>org.springframework.web.filter.DelegatingFilterProxy</filter-class> <init-param> <param-name>targetBeanName</param-name> <param-value>corsFilter</param-value> </init-param> </filter> <filter-mapping> <filter-name>cors</filter-name> <url-pattern>/*</url-pattern> </filter-mapping> ``` 这样就完成了整个流程——从理解问题背景到最后的具体实施步骤都涵盖了进来，确保了方案的有效性和完整性[^3]。