精华内容
下载资源
问答
  • import Ctpic from '@/common/custom-picture.js'; ////文档查看 ...const _ctpic = new Ctpic(); function wxhelper() { let ACCESS_TOKEN = { token: ...
    import Ctpic from '@/common/custom-picture.js'; 
    文档查看 http://hhyang.cn/doc4/custom-picture/applet_URLtoPath.html
    const _ctpic = new Ctpic();
    
    function wxhelper() {
    	let ACCESS_TOKEN = {
    		token: '',
    		expirationTimeStamp: 0
    	};
    	this.imgSecCheck = function(imgpath, webobj, callback) {
    
    		let tok = getToken(webobj);
    		tok.then(function(token) {
    			console.log("token", token)
    			if (token == '') {
    				callback({
    					"errcode": 404
    				});
    			}
    
    			let basic = _ctpic.applet_appendFile({
    				path: imgpath,
    				isNet: true, //是否网络地址
    				format:'png'
    			});
    			basic.then(function(e) {
    				let blob = _ctpic.applet_URLtoPath({
    					base64: e,
    				})
    				blob.then(function(file) {
    					
    					uni.request({
    						url: 'https://api.weixin.qq.com/wxa/img_sec_check?access_token=' + token,
    						method: 'POST',
    						data: {
    							media: {
    								contentType: 'image/jpeg',
    								value: file
    							}
    						},
    						header: {
    							'Content-Type': 'application/octet-stream'
    						},
    						success: (res) => {
    							callback(res.data);
    						},
    						fail: () => {
    							callback({
    								"errcode": 404
    							});
    						},
    
    
    					});
    					//callback(res);
    				})
    
    
    			})
    		});
    
    
    
    
    	}
    
    	this.msgSecCheck = function(msgs, webobj, callback) {
    		let tok = getToken(webobj);
    		tok.then(function(token) {
    			console.log("token", token)
    
    			if (token == '') {
    				callback({
    					"errcode": 404
    				});
    			}
    
    			
    			uni.request({
    				url: 'https://api.weixin.qq.com/wxa/msg_sec_check?access_token=' + token,
    				method: 'POST',
    				data: {
    					content: msgs
    				},
    				// header: {
    				// 	'Content-Type': 'application/octet-stream'
    				// },
    				success: (res) => {
    					callback(res.data);
    				},
    				fail: () => {
    					callback({
    						"errcode": 404
    					});
    				},
    
    
    			});
    		})
    
    
    	}
    
    	function getToken(webobj) {
    		let _this = this;
    		return new Promise((resolve, reject) => {
    
    			const sto_token = uni.getStorageSync('wx_access_token');
    			if (sto_token) {
    				ACCESS_TOKEN = sto_token;
    
    			}
    
    			if (ACCESS_TOKEN.expirationTimeStamp < (+new Date())) {
    				//取服务器最新ACCESS_TOKEN
    				uni.request({
    					url: webobj.webapi + '/api/WXImg/GetToken',
    					method: 'GET',
    					header: {
    						'Authorization': webobj.authtoken
    					}
    
    				}).then(data => { //data为一个数组,数组第一项为错误信息,第二项为返回数据
    					var [error, res] = data;
    					if (res.data.IsSuccess) {
    						ACCESS_TOKEN.token = res.data.Data.access_token
    						ACCESS_TOKEN.expirationTimeStamp = res.data.Data.TimeStamp
    						//console.log("newtoken",ACCESS_TOKEN)
    						uni.setStorageSync('wx_access_token', ACCESS_TOKEN);
    						resolve(ACCESS_TOKEN.token);
    					} else {
    						reject('');
    					}
    
    				})
    			} else {
    				resolve(ACCESS_TOKEN.token);
    			}
    
    		})
    
    
    
    	}
    
    
    
    }
    module.exports = wxhelper;
    

    使用方式

    引用了custom-picture.js,查看http://hhyang.cn/doc4/custom-picture/applet_URLtoPath.html

        import wxhelper from '@/common/wxhelper.js';

    let _wxhelper=new wxhelper();

     _wxhelper.imgSecCheck(path,{webapi:_this.webapi,authtoken:_this.authtoken},function(e){
                                             console.log(e);

    })

    展开全文
  • asp.net几种安全验证方式

    千次阅读 2007-12-18 19:51:00
    ASP.NET几种安全验证方法[转] 如何运用 Form 表单认证 ASP.NET 的安全认证,共有“Windows”“Form”“Passport”“None”四种验证模式。“Windows”与“None”没有起到保护的作用,不推荐使用;“Passport”我又...

    ASP.NET几种安全验证方法[转]

    如何运用 Form 表单认证



    ASP.NET 的安全认证,共有“Windows”“Form”“Passport”“None”四种验证模式。“Windows”与“None”没有起到保护的作用,不推荐使用;“Passport”我又没用过,唉……所以我只好讲讲“Form”认证了。我打算分三部分:

    第一部分 —— 怎样实现From 认证;

    第二部分 —— Form 认证的实战运用;

    第三部分 —— 实现单点登录(Single Sign On)

    第一部分 如何运用 Form 表单认证

    一、   新建一个测试项目

    为了更好说明,有必要新建一个测试项目(暂且为“FormTest”吧),包含三张页面足矣(Default.aspx、Login.aspx、UserInfo.aspx)。啥?有人不会新建项目,不会新增页面?你问我咋办?我看这么办好了:拖出去,打回原藉,从幼儿园学起……

    二、   修改 Web.config

    1、 双击项目中的Web.config(不会的、找不到的打 PP)

    2、 找到下列文字 <authentication mode="Windows" /> 把它改成:

    <authentication mode="Forms">

    <forms loginUrl="Login.aspx" name=".ASPXAUTH"></forms>

    </authentication>

    3、 找到<authorization> <allow users="*" /></authorization>换成

    <authorization><deny users="&"></deny></authorization>

    这里没什么好说的,只要拷贝过去就行。虽说如此,但还是有人会弄错,如下:

    <authentication mode="Forms">

      <forms loginUrl="Login.aspx" name=".APSX"></forms>

    <deny users="&"></deny>

    </authentication>

    若要问是谁把 <deny users="&"></deny> 放入 <authentication> 中的,我会很荣幸地告诉你,那是 N 年前的我:<authentication> 与 <authorization> 都是以 auth 字母开头又都是以 ation 结尾,何其相似;英文单词背不下来的我以为他们是一伙的……

    三、   编写 .cs 代码——登录与退出

    1、 登录代码:

    a、 书本上介绍的

        private void Btn_Login_Click(object sender, System.EventArgs e)

        {

        if(this.Txt_UserName.Text=="Admin" && this.Txt_Password.Text=="123456")

        {

    System.Web.Security.FormsAuthentication.RedirectFromLoginPage(this.Txt_UserName.Text,false);

    }

    }

    b、 偶找了 N 久才找到的

    private void Btn_Login_Click(object sender, System.EventArgs e)

        {
        if(this.Txt_UserName.Text=="Admin" && this.Txt_Password.Text=="123456")
        {

    System.Web.Security.FormsAuthentication.SetAuthCookie(this.Txt_UserName.Text,false);

    Response.Redirect("Default.aspx");

    }
    }

    以上两种都可发放验证后的 Cookie ,即通过验证,区别:

    方法 a) 指验证后返回请求页面,俗称“从哪来就打哪去”。比如:用户没登录前直接在 IE 地址栏输入 http://localhost/FormTest/UserInfo.aspx ,那么该用户将看到的是 Login.aspx&ReturnUrl=UserInfo.aspx ,输入用户名与密码登录成功后,系统将根据“ReturnUrl”的值,返回相应的页面

    方法 b) 则是分两步走:通过验证后就直接发放 Cookie ,跳转页面将由程序员自行指定,此方法多用于 Default.aspx 使用框架结构的系统。

    2、 退出代码:

    private void Btn_LogOut_Click(object sender, System.EventArgs e)
    {

    System.Web.Security.FormsAuthentication.SignOut();

    }

    四、   如何判断验证与否及获取验证后的用户信息

    有的时候,在同一张页面需要判断用户是否已经登录,然后再呈现不同的布局。有人喜欢用 Session 来判断,我不反对此类做法,在此我只是想告诉大家还有一种方法,且看下面代码:

    if(User.Identity.IsAuthenticated)
    {

        //你已通过验证,知道该怎么做了吧?

    }

    User.Identity 还有两个属性AuthenticationType(验证类型)与 Name(用户名称) ,大家要注意的是 Name 属性,此处的User.Identity.Name将得到,验证通过(RedirectFromLoginPage 或SetAuthCookie)时,我们带入的第一个参数 this.Txt_UserName.Text 。这个参数很重要,关系到种种……种种的情况,何出此言,且听下回分解……
    灵活运用 Form 表单认证中的 deny 与 allow 及保护 .htm 等文件

    第二部分 Form 认证的实战运用



    Web.config 的作用范围

    新建项目时, VS.Net 会在项目根目录建立一个内容固定的 Web.config。除了在项目根目录,你还可以在任一目录下建立 Web.config ,条件就是应用程序级别的节点只能在根目录的 Web.config 中出现。至于哪些是应用程序级别节点呢,这个问题嘛,其实我也不太清楚,呵呵。电脑不是我发明的,微软不是我创建的,C# 更不是我说了算的,神仙也有不知道的,所以我不晓得是正常的。话虽如此,只要它不报错,那就是对的。

    关于 Web.config 设置的作用范围,记住以下两点:

    1、 Web.config 的设置将作用于所在目录的所有文件及其子目录下的所有东东(继承:子随父姓)

    2、 子目录下的 Web.config 设置将覆盖由父目录继承下来的设置(覆盖:县官不如现管)

    给大家提个问题:有没有比根目录Web.config 的作用范围还大的配置文件呢?看完第三部分便知分晓。

    六、   学会拒绝与巧用允许

    回到我们在第一回合新建的测试项目“FormTest” ,既然要进行验证,按国际惯例,就得有用户名与密码。那,这些用户是管理员自己在数据库建好呢,还是用户注册、管理员审核好呢。只要不是一般的笨蛋,都知道选择后者。你们还别说,我公司还真有个别项目是管理员连到数据库去建帐号的,属于比较特殊的笨蛋,咱们不学他也罢,还是老老实实添加两个页面吧——注册页面(Register.aspx)与审核页面(Auditing.aspx)。

    问题终于就要浮出水面啦,当你做好 Register.aspx 时,想访问它的时候突然觉得不对劲,怎么又回到了登录页面?你仔细瞧瞧网址,是不是成了:Login.aspx&ReturnUrl=Register.aspx 。怎么办,用户就是因为没有帐号才去访问注册页面的呀?(这句纯属废话,有帐号谁还跑去注册。)我时常对我的同事说:“办法是人想出来滴!!”

    1、 新建一个目录 Public ,用于存放一些公用的文件,如万年历、脚本呀……

    2、 在“解决方案资源管理器”中右击点击目录 Public ,新增一个 Web.config

    3、 把上述 Web.config 的内容统统删除,仅留以下即可:

    <&xml version="1.0" encoding="utf-8"&>

    <configuration>

    <system.web>

    <authorization><allow users="*"/></authorization>

    </system.web>

    </configuration>

    终于切入正题了,不容易呀。根据“覆盖”原则,我们知道上述 Web.config 将替代根目录 Web.config 中的 <authorization> 节点设置,即:

      <allow users="*"/> 替换 <deny users="&"></deny>

    注解:“allow”允许的意思;“*”表示所有用户;

      “deny” 拒绝的意思;“&”表示匿名用户;

    因此,处于 Public 目录下的文件,允许所有人浏览,包括未验证的用户。把 Register.aspx 拖进来吧,再也不会有人阻止你浏览啦。

    除了注册页面,我们还提到一个审核页面(Auditing.aspx),审核权限一般都在管理员或主管手里,并不想让其他人浏览此页面(真理往往掌握在少数人的手里,这也是没法子的事),怎么办?“办法是人想出来滴”呵呵……新建一个管理员的目录 ManageSys ,在此目录下再新增一个 Web.config。内容如下:

    <&xml version="1.0" encoding="utf-8"&>

    <configuration>

    <system.web>

    <authorization>

    <allow users="Admin"/>

    <deny users="*"/>

    </authorization>

    </system.web>

    </configuration>



    System.Web.Security.FormsAuthentication.SetAuthCookie(this.Txt_UserName.Text,false); //通过验证,发放 Cookie

    之前我曾强调,要注意,第一个参数很重要,重要到什么程度?说到这,恐怕地球人都知道了——它就是allow与deny的依据。假如此处用户填写的是“Admin”即 this.Txt_UserName.Text = "Admin"; 那么进入系统后,他就能访问 ManageSys 目录下的网页了,其它闲杂人等一律拒之门外。

    为巩固上述内容,给大伙留个课外作业:此项目有两部门使用,其中每个部门分别都有些特定的页面仅供本部门用户浏览使用,请问该如何使用 Web.config 达到效果?同样,答案在第三部分揭晓

    七、   分散与集中

    乍看之下,就象是马克思列宁主义、毛泽东思想、邓小平理论中的辩证关系,大伙放心,偶是学理科的,只明白“高举程序员的伟大旗帜,以编写代码为中心”。停……

    到目前为此,我们的测试项目“FormTest”已经拥有两个目录三个 Web.config ,伴随用户需求的多样化,Web.config 也会越来越多,比如常用的文件上传功能等等。众多的 Web.config 分布在不同的目录里面,维护起来肯定比较烦人。能不能集中起来管理呢,应该咋办哩?“办法是……”哟,有人先说出来啦。不错,“办法的确是人想出来滴” ,我不说,你是不是只有在一边凉伴?开玩笑的,为了让更多的人记住这句话,我打算告诉你集中管理的办法。

    要想集中管理,不得不用到 <location> 节点与 path 属性。在本项目中,我们将目录 Public 与 ManageSys 下的设置放在根目录下的 Web.config 里面,如下:

    <&xml version="1.0" encoding="utf-8"&>

    <configuration>

    <location path ="Public">

        <system.web>

          <authorization>

    <allow users="*"/>

    </authorization>

        </system.web>

      </location>

    <location path ="ManageSys">

        <system.web>

      <authorization>

    <allow users="Admin"/>

    <deny users="*"/>

    </authorization>

        </system.web>

    </location>

      <system.web>

                <!-- 这里放置原来根目录 Web.config 的内容,就不列出来了 -->

      </system.web>

    </configuration>

      需要提醒的是

    1、 <location> 节点的位置是在 <configuration> 的一个子节点,它与原有的 <system.web> 属于并列关系

    2、 <location> 节点只需要放入对应子目录 Web.config 中的 <system.web> 的节点内容

    八、   额外的保护


    第二部分就要结束了,现在时间已是凌晨 4 点50分,我容易嘛我。认证的目的就是为了防止他人非法浏览页面,或未经许可使用某些功能。当然,世上没有绝对的安全,如今 MD5 加密都被我们国人给破解了,就是最好的例证。

    细心的人可能早就发现 ASP.NET 的安全认证只针对 .aspx、.ascx …… 等 ASP.NET 文件起作用,而对普通页面与文件却“视而不见”,如 .htm、.js 、.jpg 等。通过以下步骤你就可以保护你想保护的文件类型。

    1、 打开 Internet 信息服务(IIS)管理器 → 右击本项目虚拟 → 属性,如下图

    (screen.width-461) window.open('http://blog.csdn.net/images/blog_csdn_net/cityhunter172/85935/r_aspxForm01.JPG');" src="http://blog.csdn.net/images/blog_csdn_net/cityhunter172/85935/r_aspxForm01.JPG" border=0>)

    2、 点击按钮“配置”,出现如下对话框:

    (screen.width-461) window.open('http://blog.csdn.net/images/blog_csdn_net/cityhunter172/85935/r_aspxForm02.JPG');" src="http://blog.csdn.net/images/blog_csdn_net/cityhunter172/85935/r_aspxForm02.JPG" border=0>)

    3、 双击 .aspx 的应用程序扩展 → 查看对话框内容,如下图:

    (screen.width-461) window.open('http://blog.csdn.net/images/blog_csdn_net/cityhunter172/85935/r_aspxForm03.JPG');" src="http://blog.csdn.net/images/blog_csdn_net/cityhunter172/85935/r_aspxForm03.JPG" border=0>)

    4、 复制“可执行文件”的全路径名称后 → 点击“取消”返回上一层对话框 → 点击按钮“添加”

    5、 粘贴刚才复制的内容(我的系统装在 D 盘,所以内容为 D:/WINDOWS/Microsoft.NET/Framework/v1.1.4322/aspnet_isapi.dll ) → 填写后缀名为 .htm → 填写动作限制为“GET,HEAD,POST,DEBUG”(为方便省事你可选全部)

    6、 最后点击“确定” → 往项目中添加 HtmlPage1.htm → 在 IE 浏览器的地址栏直接输入http://localhost/FormTest/HtmlPage1.htm → 观看测试效果

    最后送大家一段 Web.config 设置,发完睡觉,实在是困的不行了。

    <location path ="决战紫禁城">

        <system.web>

          <authorization>

    <allow users="叶孤城"/>

    <allow users="西门吹雪"/>

    <deny users="*"/>

    </authorization>

        </system.web>

      </location>

    <location path ="金銮殿屋脊">

        <system.web>

      <authorization>

    <allow users="腰系缎带之人"/>

    <deny users="*"/>

    </authorization>

        </system.web>

      </location>
    ASP.NET 安全认证(三)

    看了之后,再写点自己的做法(属于初学级别)

    其实<location> 并不只对文件夹管用,对页面也很管用,如果有页面不需要验证(比如说default.aspx),直接在<location>节点下这样写:

    <location path="Home.aspx">
    <system.web>
        <authorization>
          <allow users="&" />
        </authorization>
    </system.web>
    .............
    (中间很可以加上很多权限控制的页面)
    ..............
    </location>

    达到的效果是一样的。以下是贴MSDN上的内容。

    <location path="path"
        allowOverride="true|false"/>

    可选属性

    属性选项说明

    path   应用指定配置设置的资源。使用缺少路径属性的 <location> 将配置设置应用于当前目录及其所有子目 录。如果 <location> 不使用 path 属性,并且 allowOverride 被指定为 false,则不能通过子目录中的 Web.config 文件更改配置设置。

    allowOverride   指定配置设置是否可以被子目录中的 Web.config 文件的配置设置重写。
    true指定配置设置可以被重写。默认值为 true。
    false指定配置设置不可以被重写。

    示例
    以下示例允许匿名用户访问 Logon.aspx 页。
    <configuration>
    <location path="Logon.aspx">
      <system.web>
        <authorization>
        <allow users="&"/>
        </authorization>
      </system.web>
    </location>
    </configuration>

    以下示例仅将指定页的上载文件大小限制设置为 128KB。
    <configuration>
    <location path="UploadPage.aspx">
      <httpRuntime maxRequestLength="128"/>
    </location>
    </configuration>

    以下示例防止配置设置被子目录中的 Web.config 文件更改。
    <configuration>
    <location allowOverride="false"/>
    </configuration>
     
    展开全文
  • 点击上方“Java团长”,选择“置顶公众号”干货文章第一时间送达!一、Shiro框架简单介绍Apache Shiro是Java的一个安全框架,旨在简化身份验证和授权。Sh...
        

    点击上方“Java团长”,选择“置顶公众号”

    干货文章第一时间送达!


    一、Shiro框架简单介绍

    Apache Shiro是Java的一个安全框架,旨在简化身份验证和授权。Shiro在JavaSE和JavaEE项目中都可以使用。它主要用来处理身份认证,授权,企业会话管理和加密等。Shiro的具体功能点如下:

    (1)身份认证/登录,验证用户是不是拥有相应的身份; 
    (2)授权,即权限验证,验证某个已认证的用户是否拥有某个权限;即判断用户是否能做事情,常见的如:验证某个用户是否拥有某个角色。或者细粒度的验证某个用户对某个资源是否具有某个权限; 
    (3)会话管理,即用户登录后就是一次会话,在没有退出之前,它的所有信息都在会话中;会话可以是普通JavaSE环境的,也可以是如Web环境的; 
    (4)加密,保护数据的安全性,如密码加密存储到数据库,而不是明文存储; 
    (5)Web支持,可以非常容易的集成到Web环境; 
    Caching:缓存,比如用户登录后,其用户信息、拥有的角色/权限不必每次去查,这样可以提高效率; 
    (6)shiro支持多线程应用的并发验证,即如在一个线程中开启另一个线程,能把权限自动传播过去; 
    (7)提供测试支持; 
    (8)允许一个用户假装为另一个用户(如果他们允许)的身份进行访问; 
    (9)记住我,这个是非常常见的功能,即一次登录后,下次再来的话不用登录了。

    文字描述可能并不能让猿友们完全理解具体功能的意思。下面我们以登录验证为例,向猿友们介绍Shiro的使用。至于其他功能点,猿友们用到的时候再去深究其用法也不迟。

    二、Shiro实例详细说明

    本实例环境:eclipse + maven 
    本实例采用的主要技术:spring + springmvc + shiro

    2.1、依赖的包

    假设已经配置好了spring和springmvc的情况下,还需要引入shiro以及shiro集成到spring的包,maven依赖如下:

    <!-- Spring 整合Shiro需要的依赖 -->  
    <dependency>  
       <groupId>org.apache.shiro</groupId>  
       <artifactId>shiro-core</artifactId>  
       <version>1.2.1</version>  
    </dependency>  
    <dependency>  
       <groupId>org.apache.shiro</groupId>  
       <artifactId>shiro-web</artifactId>  
       <version>1.2.1</version>  
    </dependency>  
    <dependency>  
       <groupId>org.apache.shiro</groupId>  
       <artifactId>shiro-ehcache</artifactId>  
       <version>1.2.1</version>  
    </dependency>  
    <dependency>  
       <groupId>org.apache.shiro</groupId>  
       <artifactId>shiro-spring</artifactId>  
       <version>1.2.1</version>  
    </dependency>


    2.2、定义shiro拦截器

    对url进行拦截,如果没有验证成功的需要验证,然后额外给用户赋予角色和权限。

    自定义的拦截器需要继承AuthorizingRealm并实现登录验证和赋予角色权限的两个方法,具体代码如下:

    package com.luo.shiro.realm;

    import java.util.HashSet;
    import java.util.Set;
    import org.apache.shiro.authc.AuthenticationException;
    import org.apache.shiro.authc.AuthenticationInfo;
    import org.apache.shiro.authc.AuthenticationToken;
    import org.apache.shiro.authc.SimpleAuthenticationInfo;
    import org.apache.shiro.authc.UsernamePasswordToken;
    import org.apache.shiro.authz.AuthorizationInfo;
    import org.apache.shiro.authz.SimpleAuthorizationInfo;
    import org.apache.shiro.realm.AuthorizingRealm;
    import org.apache.shiro.subject.PrincipalCollection;
    import com.luo.util.DecriptUtil;

    public class MyShiroRealm extends AuthorizingRealm {

       //这里因为没有调用后台,直接默认只有一个用户("luoguohui","123456")
       private static final String USER_NAME = "luoguohui";  
       private static final String PASSWORD = "123456";  

       /*
        * 授权
        */

       @Override
       protected AuthorizationInfo doGetAuthorizationInfo(PrincipalCollection principals) {
           Set<String> roleNames = new HashSet<String>();  
           Set<String> permissions = new HashSet<String>();  
           roleNames.add("administrator");//添加角色
           permissions.add("newPage.jhtml");  //添加权限
           SimpleAuthorizationInfo info = new SimpleAuthorizationInfo(roleNames);  
           info.setStringPermissions(permissions);  
           return info;  
       }

       /*
        * 登录验证
        */

       @Override
       protected AuthenticationInfo doGetAuthenticationInfo(
               AuthenticationToken authcToken)
    throws AuthenticationException
    {
           UsernamePasswordToken token = (UsernamePasswordToken) authcToken;
           if(token.getUsername().equals(USER_NAME)){
               return new SimpleAuthenticationInfo(USER_NAME, DecriptUtil.MD5(PASSWORD), getName());  
           }else{
               throw new AuthenticationException();  
           }
       }

    }


    2.3、shiro配置文件

    spring-shiro.xml文件内容如下:

    <?xml version="1.0" encoding="UTF-8"?>  
    <beans xmlns="http://www.springframework.org/schema/beans"  
       xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance"  
       xsi:schemaLocation="http://www.springframework.org/schema/beans  
                           http://www.springframework.org/schema/beans/spring-beans-3.0.xsd"
     
       default-lazy-init="true">
     

       <description>Shiro Configuration</description>  

       <!-- Shiro's main business-tier object for web-enabled applications -->  
       <bean id="securityManager" class="org.apache.shiro.web.mgt.DefaultWebSecurityManager">  
           <property name="realm" ref="myShiroRealm" />  
           <property name="cacheManager" ref="cacheManager" />  
       </bean>  

       <!-- 項目自定义的Realm -->  
       <bean id="myShiroRealm" class="com.luo.shiro.realm.MyShiroRealm">  
           <property name="cacheManager" ref="cacheManager" />  
       </bean>  

       <!-- Shiro Filter -->  
       <bean id="shiroFilter" class="org.apache.shiro.spring.web.ShiroFilterFactoryBean">  
           <property name="securityManager" ref="securityManager" />  
           <property name="loginUrl" value="/login.jhtml" />  
           <property name="successUrl" value="/loginsuccess.jhtml" />  
           <property name="unauthorizedUrl" value="/error.jhtml" />  
           <property name="filterChainDefinitions">  
               <value>  
                   /index.jhtml = authc  
                   /login.jhtml = anon
                   /checkLogin.json = anon  
                   /loginsuccess.jhtml = anon  
                   /logout.json = anon  
                   /** = authc  
               </value>  
           </property>  
       </bean>  

       <!-- 用户授权信息Cache -->  
       <bean id="cacheManager" class="org.apache.shiro.cache.MemoryConstrainedCacheManager" />  

       <!-- 保证实现了Shiro内部lifecycle函数的bean执行 -->  
       <bean id="lifecycleBeanPostProcessor" class="org.apache.shiro.spring.LifecycleBeanPostProcessor" />  

       <!-- AOP式方法级权限检查 -->  
       <bean class="org.springframework.aop.framework.autoproxy.DefaultAdvisorAutoProxyCreator"  
           depends-on="lifecycleBeanPostProcessor">
     
           <property name="proxyTargetClass" value="true" />  
       </bean>  

       <bean class="org.apache.shiro.spring.security.interceptor.AuthorizationAttributeSourceAdvisor">  
           <property name="securityManager" ref="securityManager" />  
       </bean>  

    </beans>


    这里有必要说清楚”shiroFilter” 这个bean里面的各个属性property的含义:

    (1)securityManager:这个属性是必须的,没什么好说的,就这样配置就好。 
    (2)loginUrl:没有登录的用户请求需要登录的页面时自动跳转到登录页面,可配置也可不配置。 
    (3)successUrl:登录成功默认跳转页面,不配置则跳转至”/”,一般可以不配置,直接通过代码进行处理。 
    (4)unauthorizedUrl:没有权限默认跳转的页面。 
    (5)filterChainDefinitions,对于过滤器就有必要详细说明一下:

    1)Shiro验证URL时,URL匹配成功便不再继续匹配查找(所以要注意配置文件中的URL顺序,尤其在使用通配符时),故filterChainDefinitions的配置顺序为自上而下,以最上面的为准

    2)当运行一个Web应用程序时,Shiro将会创建一些有用的默认Filter实例,并自动地在[main]项中将它们置为可用自动地可用的默认的Filter实例是被DefaultFilter枚举类定义的,枚举的名称字段就是可供配置的名称

    3)通常可将这些过滤器分为两组:

    anon,authc,authcBasic,user是第一组认证过滤器

    perms,port,rest,roles,ssl是第二组授权过滤器

    注意user和authc不同:当应用开启了rememberMe时,用户下次访问时可以是一个user,但绝不会是authc,因为authc是需要重新认证的 
    user表示用户不一定已通过认证,只要曾被Shiro记住过登录状态的用户就可以正常发起请求,比如rememberMe

    说白了,以前的一个用户登录时开启了rememberMe,然后他关闭浏览器,下次再访问时他就是一个user,而不会authc

    4)举几个例子 
    /admin=authc,roles[admin] 表示用户必需已通过认证,并拥有admin角色才可以正常发起’/admin’请求 
    /edit=authc,perms[admin:edit] 表示用户必需已通过认证,并拥有admin:edit权限才可以正常发起’/edit’请求 
    /home=user 表示用户不一定需要已经通过认证,只需要曾经被Shiro记住过登录状态就可以正常发起’/home’请求

    5)各默认过滤器常用如下(注意URL Pattern里用到的是两颗星,这样才能实现任意层次的全匹配) 
    /admins/**=anon 无参,表示可匿名使用,可以理解为匿名用户或游客 
    /admins/user/**=authc 无参,表示需认证才能使用 
    /admins/user/**=authcBasic 无参,表示httpBasic认证 
    /admins/user/**=user 无参,表示必须存在用户,当登入操作时不做检查 
    /admins/user/**=ssl 无参,表示安全的URL请求,协议为https 
    /admins/user/*=perms[user:add:
    参数可写多个,多参时必须加上引号,且参数之间用逗号分割,如/admins/user/*=perms[“user:add:,user:modify:*”] 
    当有多个参数时必须每个参数都通过才算通过,相当于isPermitedAll()方法 
    /admins/user/**=port[8081] 
    当请求的URL端口不是8081时,跳转到schemal://serverName:8081?queryString 
    其中schmal是协议http或https等,serverName是你访问的Host,8081是Port端口,queryString是你访问的URL里的?后面的参数 
    /admins/user/**=rest[user] 
    根据请求的方法,相当于/admins/user/**=perms[user:method],其中method为post,get,delete等 
    /admins/user/**=roles[admin] 
    参数可写多个,多个时必须加上引号,且参数之间用逗号分割,如/admins/user/**=roles[“admin,guest”] 
    当有多个参数时必须每个参数都通过才算通过,相当于hasAllRoles()方法

    上文参考了:

    http://www.cppblog.com/guojingjia2006/archive/2014/05/14/206956.html

    2.4、web.xml配置引入对应的配置文件和过滤器

    <!-- 读取spring和shiro配置文件 -->
    <context-param>
       <param-name>contextConfigLocation</param-name>
       <param-value>classpath:application.xml,classpath:shiro/spring-shiro.xml</param-value>
    </context-param>

    <!-- shiro过滤器 -->
    <filter>  
       <filter-name>shiroFilter</filter-name>  
       <filter-class>org.springframework.web.filter.DelegatingFilterProxy</filter-class>  
       <init-param>  
           <param-name>targetFilterLifecycle</param-name>  
           <param-value>true</param-value>  
       </init-param>  
    </filter>  
    <filter-mapping>  
       <filter-name>shiroFilter</filter-name>  
       <url-pattern>*.jhtml</url-pattern>  
       <url-pattern>*.json</url-pattern>  
    </filter-mapping>


    2.5、controller代码

    package com.luo.controller;

    import java.util.HashMap;
    import java.util.Map;

    import javax.servlet.http.HttpServletRequest;

    import org.apache.shiro.SecurityUtils;
    import org.apache.shiro.authc.UsernamePasswordToken;
    import org.apache.shiro.subject.Subject;
    import org.springframework.stereotype.Controller;
    import org.springframework.web.bind.annotation.RequestMapping;
    import org.springframework.web.bind.annotation.RequestMethod;
    import org.springframework.web.bind.annotation.ResponseBody;
    import org.springframework.web.servlet.ModelAndView;

    import com.alibaba.druid.support.json.JSONUtils;
    import com.luo.errorcode.LuoErrorCode;
    import com.luo.exception.BusinessException;
    import com.luo.util.DecriptUtil;

    @Controller
    public class UserController {

       @RequestMapping("/index.jhtml")
       public ModelAndView getIndex(HttpServletRequest request) throws Exception {
           ModelAndView mav = new ModelAndView("index");
           return mav;
       }

       @RequestMapping("/exceptionForPageJumps.jhtml")
       public ModelAndView exceptionForPageJumps(HttpServletRequest request) throws Exception {
           throw new BusinessException(LuoErrorCode.NULL_OBJ);
       }

       @RequestMapping(value="/businessException.json", method=RequestMethod.POST)
       @ResponseBody  
       public String businessException(HttpServletRequest request) {
           throw new BusinessException(LuoErrorCode.NULL_OBJ);
       }

       @RequestMapping(value="/otherException.json", method=RequestMethod.POST)
       @ResponseBody  
       public String otherException(HttpServletRequest request) throws Exception {
           throw new Exception();
       }

       //跳转到登录页面
       @RequestMapping("/login.jhtml")
       public ModelAndView login() throws Exception {
           ModelAndView mav = new ModelAndView("login");
           return mav;
       }

       //跳转到登录成功页面
       @RequestMapping("/loginsuccess.jhtml")
       public ModelAndView loginsuccess() throws Exception {
           ModelAndView mav = new ModelAndView("loginsuccess");
           return mav;
       }

       @RequestMapping("/newPage.jhtml")
       public ModelAndView newPage() throws Exception {
           ModelAndView mav = new ModelAndView("newPage");
           return mav;
       }

       @RequestMapping("/newPageNotAdd.jhtml")
       public ModelAndView newPageNotAdd() throws Exception {
           ModelAndView mav = new ModelAndView("newPageNotAdd");
           return mav;
       }

       /**
        * 验证用户名和密码
        * @param String username,String password
        * @return
        */
     
       @RequestMapping(value="/checkLogin.json",method=RequestMethod.POST)  
       @ResponseBody  
       public String checkLogin(String username,String password) {  
           Map<String, Object> result = new HashMap<String, Object>();
           try{
               UsernamePasswordToken token = new UsernamePasswordToken(username, DecriptUtil.MD5(password));  
               Subject currentUser = SecurityUtils.getSubject();  
               if (!currentUser.isAuthenticated()){
                   //使用shiro来验证  
                   token.setRememberMe(true);  
                   currentUser.login(token);//验证角色和权限  
               }
           }catch(Exception ex){
               throw new BusinessException(LuoErrorCode.LOGIN_VERIFY_FAILURE);
           }
           result.put("success", true);
           return JSONUtils.toJSONString(result);  
       }  

       /**
        * 退出登录
        */
     
       @RequestMapping(value="/logout.json",method=RequestMethod.POST)    
       @ResponseBody    
       public String logout() {  
           Map<String, Object> result = new HashMap<String, Object>();
           result.put("success", true);
           Subject currentUser = SecurityUtils.getSubject();      
           currentUser.logout();    
           return JSONUtils.toJSONString(result);
       }  
    }


    上面代码,我们只需要更多地关注登录验证和退出登录的代码。 
    其中DecriptUtil.MD5(password),对密码进行md5加密解密是我自己写的工具类DecriptUtil,对应MyShiroRealm里面的登录验证里面也有对应对应的方法。 
    另外,BusinessException是我自己封装的异常类。 
    最后会提供整个工程源码供猿友下载,里面包含了所有的代码。

    2.6、login.jsp代码

    <%@ page language="java" contentType="text/html; charset=UTF-8" pageEncoding="UTF-8"%>
    <html>
    <head>
    <script src="<%=request.getContextPath()%>/static/bui/js/jquery-1.8.1.min.js"></script>
    </head>
    <body>
    username: <input type="text" id="username"><br><br>  
    password: <input type="password" id="password"><br><br>
    <button id="loginbtn">登录</button>
    </body>
    <script type="text/javascript">
    $('#loginbtn').click(function() {
       var param = {
           username : $("#username").val(),
           password : $("#password").val()
       };
       $.ajax({
           type: "post",
           url: "<%=request.getContextPath()%>" + "/checkLogin.json",
           data: param,
           dataType: "json",
           success: function(data) {
               if(data.success == false){
                   alert(data.errorMsg);
               }else{
                   //登录成功
                   window.location.href = "<%=request.getContextPath()%>" +  "/loginsuccess.jhtml";
               }
           },
           error: function(data) {
               alert("调用失败....");
           }
       });
    });
    </script>
    </html>


    2.7、效果演示

    (1)如果未登录前,输入:

    http://localhost:8080/web_exception_project/index.jhtml

    会自动跳转到:

    http://localhost:8080/web_exception_project/login.jhtml

    (2)如果登录失败和登录成功:

    640

    640

    (3)如果登录成功,访问:

    http://localhost:8080/web_exception_project/index.jhtml

    就可以到其对应的页面了。

    640

    2.8、我遇到的坑

    在本实例的调试里面遇到一个问题,虽然跟shiro没有关系,但是也跟猿友们分享一下。 
    就是ajax请求设置了“contentType : “application/json””,导致controller获取不到username和password这两个参数。 
    后面去掉contentType : “application/json”,采用默认的就可以了。

    具体原因可以浏览博文:http://blog.csdn.net/mhmyqn/article/details/25561535

    • 原文:blog.csdn.net/u013142781/article/details/50629708

    640?

    Java团长

    每日分享Java干货

    微信号:javatuanzhang

    640?

    长按识别二维码

    展开全文
  • 纯js实现的前端验证插件

    千次阅读 2019-03-21 12:16:40
    之前有写过一个在C#后台实现的点击图上上文字实现安全验证的插件,相对于js验证来说更安全,缺点是只能在c#后台实现,最近发现一个纯js实现的安全验证插件,最大好处就是简洁,跨平台。 下面直接把代码贴出来分享给...

    之前有写过一个在C#后台实现的点击图上上文字实现安全验证的插件,相对于js验证来说更安全,缺点是只能在c#后台实现,最近发现一个纯js实现的安全验证插件,最大好处就是简洁,跨平台。

    下面直接把代码贴出来分享给大家:

    运行示例:http://img.lwpoor.cn/verify/login.html

    这里包含两个验证的控件:1、拖动滑块拼接图片完成验证   2、点击图片上的文字完成验证

    verify.js

    http://img.lwpoor.cn/verify/verify.js

    verify.css

    http://img.lwpoor.cn/verify/verify.css

     

    如何使用?

    新建一个html页面:

    <!DOCTYPE html>
    <html style="font-size:10px;">
    <head>
    <meta charset="UTF-8">
        <title>纯js实现的一个安全验证插件</title>
        <meta name="viewport" content="width=device-width,initial-scale=1,minimum-scale=1,maximum-scale=1,user-scalable=no">
        <script type="text/javascript" src="https://images.zhongmin.cn/wap/js/jquery-1.9.1.min.js"></script>
        <link rel="stylesheet" href="http://img.lwpoor.cn/verify/verify.css">
    	<style>
        .body-shade {
            position: fixed;
            top: 0;
            left: 0;
            width: 100%;
            height: 100%;
            background: rgba(0, 0, 0, 0.3);
            z-index: 100;
        }
    </style>
    </head>
    
    <body>
    	<input type="button" value="拖动滑块验证" onclick="verify1();" />
    	<input type="button" value="点击图片验证" onclick="verify2();" />
        <!--遮罩-->
        <div class="body-shade" style="display:none;"></div>
        <div class="verify-alert verify1" style="display:none;width:360px;">
            <p class="verify-title">拖动滑块完成安全验证</p>
            <i class="icon-close"></i>
            <div id="mpanel4" class="mpanel mpanelslide"></div>
            <p class="slidefail">验证失败,请控制拼图块对齐缺口</p>
            <div class="slidesuccess">
                <img src="http://images.zhongmin.cn/zhongmin_wap2017/verify/images/slidesuccess.png" alt="">
                <p style="color: #22ac38">验证通过</p>
            </div>
        </div>
        <div class="verify-alert verify2" style="display: none;width:360px;">
            <p class="verify-title">请完成安全认证</p>
            <i class="icon-close"></i>
            <div id="mpanel5" class="mpanel mpanelpoints"></div>
        </div>
    </body>
    <script type="text/javascript" src="http://img.lwpoor.cn/verify/verify.js" ></script>
    <script>
        function verify1() {
            $('.body-shade').show();
            $('.verify1').show();
        }
        function verify2() {
            $('.body-shade').show();
            $('.verify2').show();
        }        
        var v1 = $('#mpanel4').slideVerify({
            type : 2,       //类型
            vOffset : 5,    //误差量,根据需求自行调整
            vSpace : 5, //间隔
            imgName : ['3.png'],
            imgSize : {
                width: '100%',
                height: '200px',
            },
            blockSize : {
                width: '40px',
                height: '40px',
            },
            barSize : {
                width : '100%',
                height : '20px',
            },
            ready : function() {
            },
            success : function() {
                //alert('验证成功,添加你自己的代码!');
                //......后续操作
            },
            error : function() {
                //alert('验证失败!');
            }
            
        });  
        var v2 = $('#mpanel5').pointsVerify({
            defaultNum : 4, //默认的文字数量
            checkNum : 3,   //校对的文字数量 
            vSpace : 5, //间隔
            imgName : ['3.png'],
            imgSize : {
                width: '100%',
                height: '200px',
            },
            barSize : {
                width : '100%',
                height : '40px',
            },
            ready : function() {
            },
            success : function(res) {
                //alert('验证成功,添加你自己的代码!');
                //......后续操作
    			console.log(res)
            },
            error : function(res) {
                //alert('验证失败!');
            }
        });         
        $('.icon-close').on('click',function () {
            $('.verify-alert,.mask-layer').hide();
            $('.body-shade').hide();
        })        
    </script>
    </html>
    

    运行结果:

    1、拖动滑块完成安全验证

     

    2、点击图片上的文字完成验证

     

    关键代码已经写了注释,大家可下载本地运行查看。

     

    展开全文
  • 验证登录流程判断逻辑 前端 账户名、密码、验证码 是否为空? 密码是否符合规则(特殊字符、大小写、数字、长度..) 服务端 验证码是否正确 (对应时间戳是否过期) 账户是否存在 (未注册、已注销) 密码...
  • 首先进入这个网站:...如图 点击下载解压后如图: 在项目中导入css文件js文件image文件 图片可以自己选择没有要求注意图片格式要一直 创建jsp文件代码为: <%-- Created by IntelliJ IDEA. ...
  • 这是作者网络安全自学教程系列,主要是关于安全工具和实践操作的在线笔记,特分享出来与博友们学习,希望您喜欢,一起进步。前文分享了Easy_unserialize解题思路,详细分享文件上传漏洞、冰蝎蚁剑用法、反序列化phar...
  • 效果如上图; 引入dll 添加所需要的文件夹(picverificationimg:用于存放背景图 字体等) 引入js、css(添加分布视图_PictureVerifaction.cshtml 分布式图会包含这些文件...滑动验证:创新行为式验证,轻松一滑...
  • AngularJS表单验证

    千次阅读 2015-03-09 15:36:39
    客户端表单验证是AngularJS里面最酷的功能之一。 AngularJS表单验证可以让你从一开始就写出一个具有交互性和可相应的现代HTML5表单。 在AngularJS中,有许多表单验证指令。在这里,我们将谈谈几个最流行指令,然后...
  • cordova 指纹验证登录

    千次阅读 2019-02-22 17:16:56
    关键词:指纹验证登录 需求:在APP上实现指纹验证登录 指纹验证登录,顾名思义,基于手机系统提供的指纹认证API,实现方便用户登录的功能。 实现流程: 1:初始化 -- 获取手机指纹识别支持情况(传感器支持...
  • js实现注册验证

    千次阅读 2019-04-03 15:51:59
    为什么需要表单验证(前端)? 首先我们要保证提交的数据是正确的,但是把信息都交给服务器去做服务器压力就太大了,所以要进行表单验证。 思路分析 通过getElementById()方法获得表单元素的值 通过字符串方法(包括...
  • 最近开始学习网络安全相关知识,接触了好多新术语,感觉自己要学习的东西太多,真是学无止境,也发现了好几个默默无闻写着博客、做着开源的大神。准备好好学习下新知识,并分享些博客与博友们一起进步,加油。非常...
  • bmob实现短信验证功能

    千次阅读 2016-07-27 21:48:42
    短信验证看起来还是蛮有逼格的,而且针对于用户安全对有一定的保证,比如说每次登陆都是通过短信验证来进行登陆。 所以说学习短信验证还是挺重要的。不要用mob服务平台,很难用很难用,超级大坑,尽管看起来逼格...
  • HTTP安全

    千次阅读 2020-10-24 09:35:09
    正如我们反复指出的, HTTP 的特性让它不容易被居心叵测的人控制,但是同样使得让 http 变得非常安全变得富于挑战性。现在你知道 Web 应用如何优雅的解决了 HTTP 无状态的问题,但是也可想而知还是有一些安全问题...
  • 表单验证

    千次阅读 2006-04-28 13:37:00
    如何运用 Form 表单认证 ASP.NET 的安全认证,共有“Windows”“Form”“Passport”“None”四种验证模式。“Windows”与“None”没有起到保护的作用,不推荐使用;“Passport”我又没用过,唉……所以我只好讲讲...
  • Vue 纯前端的拼图人机验证、右滑拼图验证 我知道有第 3 方的很好用,比如 GEETEST 的拼图验证,但要引入 SDK 跟后台配合,还有接口交互。 太麻烦了,有时候突然改需求来不及弄,为了应付老板,就弄了个纯前端的随便验...
  • 常见的登录验证方式 ...邮箱 + 动态邮箱验证码 手机号 + 动态短信/语音验证码 ...文字点选验证: 图标点选验证: 此登录验证方式比较常见。 优点: (1)此登录验证方式比较常见,用户操作起来已经比较熟悉
  • FORM 验证

    千次阅读 2012-07-17 17:58:46
    安全认证,共有“ Windows ”“ Form ”“ Passport ”“ None ”四种验证模式。“ Windows ”与“ None ”没有起到保护的作用,不推荐使用;“ Passport ”我又没用过,唉……所以我只好讲讲“ Form ”认证了。我...
  • 【ASP.NET】基础补习之验证控件 在做Web应用程序的时候,因为用户有可能输入各式各样的信息,经常需要大量的数据验证,如果交给服务器去验证的话,无疑会增加服务器的压力,而且也容易造成程序的异常。甚至导致网站...
  • js验证

    千次阅读 2011-08-01 23:38:17
    数据验证  }  //建站:文件→新建→网站→ASP.NET 网站→位置(文件系统)→语言(Visual C#)→路径(添加合适路径储存网页)  //添加HTML网页:(在资源管理器)添加新项→HTML页→起名→确定  //自动...
  • 各种常用注册页面表单验证

    千次阅读 2015-06-16 16:53:42
    这里介绍的第一个是最原始的表单验证方式,即没有使用即时验证,需要点击提交按钮才进行验证,也没有使用正则表达式或者AJAX验证,也或者是JQuery的验证,不过这么多验证方式接着第一个后面都会写出来的   1...
  • angularjs输入验证

    千次阅读 2016-08-18 14:07:10
    ...(译) AngularJS中使用的表单验证 - Zack Yang 时间 2013-11-15 14:22:00 博客园-原创精华区 原文 http://www.cnblogs.com/woshinidezhu/p/Form-validation-with-AngularJS.html 主题 
  • 图形验证码安全

    万次阅读 2019-01-04 14:13:21
    图形验证码的安全问题 静态图形验证码的破解 利用Python脚本破解静态图形验证码 图形验证码 我们经常在登录app或者网页的时候,都会需要我们输入图形验证码上的内容,以验证登录。有些是纯数字的图形验证码,...
  • postman身份验证Authentication

    千次阅读 2017-07-13 15:40:03
    身份验证Authentication postman有一个helpers可以帮助我们简化一些重复和复杂的任务。当前的一套helpers可以帮助你解决一些authentication protocols的问题。 Basic Auth填写用户名和密码,点击Refresh ...
  • 这是作者的系列网络安全自学教程,主要是关于网安工具和实践操作的在线笔记,特分享出来与博友共勉,希望您们喜欢,一起进步。前文分享了Web渗透的第一步工作,涉及网站信息、域名信息、端口信息、敏感信息及指纹...
  • Web表单验证:最佳实践和教程

    千次阅读 2015-05-02 20:34:42
    理想情况下,用户将必要的信息填入表单中,然后顺利提交。然而,用户经常犯二。这就是为什么我们要强调Web表单验证。...在这篇文章中,我们将超越验证这一行为本身,来探寻不同的验证方式和错误反馈的技术和方法。
  • 拖动滑块验证

    千次阅读 2018-06-25 13:49:31
    // 鼠标点击滑块按下操作 btn.onmousedown=function(ev){ var ev=ev||window.event; var down=ev.clientX; // 鼠标点击滑块拖动 btn.onmousemove=function(ev){ var ev=ev||window....
  • JackHttp -- HTTPS 为什么是安全的?

    千次阅读 2019-12-10 17:53:38
    HTTP 为什么是不安全的 什么是 HTTPS? SSL/TLS 在网络分层中所处的位置 HTTPS 与 HTTP & SSL/TLS 之间的关系 HTTPS 为什么是安全的 HTTPS 连接流程 分析 HTTPS 真的一定安全吗?
  • 极验点选文字分析

    2020-07-10 09:44:03
    3.验证鼠标点击过程,成功返回下一步验证(可能是滑块或者点选文字) 4.返回图片的点选验证 从后面往前分析: 校验的轨迹还是在W参数中的,通过追踪到js可以发现这种代码: 现在不喜欢对这种代码进行硬刚,我们使用AST...

空空如也

空空如也

1 2 3 4 5 ... 20
收藏数 26,859
精华内容 10,743
关键字:

安全验证点击文字