我正在使用 Spring 进行 IOC 和事务管理，并计划使用 Apache Shiro 作为安全库。
每当我想检查用户的权限时，我都会调用subject.isPermitted("right")，然后 Shiro 使用数据存储检查权限。在这些调用中，建立了一个数据库连接，并且我用@Transactional. 但是，每当我执行权限检查时，我总是收到一个错误，即没有绑定到线程的 Hibernate 会话。
该方法在 Realm 类中。我定义了一个自定义 Shiro Realm 类：
@Component
public class MainRealm extends AuthorizingRealm {
@Autowired
protected SysUserDao userDao;
@Transactional
protected AuthenticationInfo doGetAuthenticationInfo(AuthenticationToken token)
throws AuthenticationException {
...
final SysUser user = this.userDao.findByUsername(un);
...
return authInfo;
}
@Transactional
protected AuthorizationInfo doGetAuthorizationInfo(PrincipalCollection principals) {
...
permissions = this.userDao.getAccessRights(un);
...
return authInfo;
}
}
Apache Shiro 使用 Servlet 过滤器，所以我在 web.xml 中定义了以下内容：
<filter>
<filter-name>shiroFilter</filter-name>
<filter-class>org.springframework.web.filter.DelegatingFilterProxy</filter-class>
<init-param>
<param-name>targetFilterLifecycle</param-name>
<param-value>true</param-value>
</init-param>
</filter>
我正在为 Spring 使用编程配置。这是我的 App Config 类：
@Configuration //Replaces Spring XML configuration
@ComponentScan(basePackages = "com.mycompany")
@EnableTransactionManagement //Enables declarative Transaction annotations
public class SpringAppConfig {
@Bean
public DataSource sqlServerDataSource() throws Exception {...}
@Bean
@Autowired
public PlatformTransactionManager transactionManager(SessionFactory sessionFactory) {...}
@Bean
public AnnotationSessionFactoryBean getSessionFactory() throws Exception {...}
@Bean
public static PersistenceExceptionTranslationPostProcessor exceptionTranslation() {...}
@Bean
@Autowired
public DefaultWebSecurityManager securityManager(MainRealm mainRealm) {
final HashedCredentialsMatcher hcm = new HashedCredentialsMatcher(shiroHash);
hcm.setHashIterations(shiroIter);
hcm.setStoredCredentialsHexEncoded(shiroHexEncoded);
mainRealm.setCredentialsMatcher(hcm);
final DefaultWebSecurityManager sm = new DefaultWebSecurityManager();
sm.setRealm(mainRealm);
return sm;
}
@Bean
@Autowired
public ShiroFilterFactoryBean shiroFilter(DefaultWebSecurityManager securityManager) {
final ShiroFilterFactoryBean filter = new ShiroFilterFactoryBean();
filter.setSecurityManager(securityManager);
return filter;
}
/**
* This method needs to be static due to issues defined here:<br>
* https://issues.apache.org/jira/browse/SHIRO-222
*/
@Bean
public static LifecycleBeanPostProcessor lifecycleBeanPostProcessor() {
LifecycleBeanPostProcessor lbpp = new LifecycleBeanPostProcessor();
return lbpp;
}
@Bean
@DependsOn("lifecycleBeanPostProcessor")
public static DefaultAdvisorAutoProxyCreator defaultAdvisorAutoProxyCreator() {
return new DefaultAdvisorAutoProxyCreator();
}
@Bean
@Autowired
public AuthorizationAttributeSourceAdvisor authorizationAttributeSourceAdvisor(DefaultWebSecurityManager secMan) {
AuthorizationAttributeSourceAdvisor advBean = new AuthorizationAttributeSourceAdvisor();
advBean.setSecurityManager(secMan);
return advBean;
}
}
总结一下这个问题，我相信我的 MainRealm 类连接正确（它有一个对 DAO 对象的 @Autowired 依赖项，我验证它不为空），但 @Transactional 注释除外。因此，我无法直接调用user.isPermitted("")，因为它会提示错误：No Hibernate Session bound to thread, and configuration does not allow creation of non-transactional one here.
想寻求帮助以检查我是否错过了 Spring 配置中的任何内容。
与此同时，我通过user.isPermitted("")在我的服务类中的一个方法中调用该函数来解决这个问题，该方法被@Transactional正确绑定。
编辑当我检查 Spring 初始化的日志时，我可以看到：
Bean 'mainRealm' of type [class com.x.security.MainRealm] is not eligible for getting processed by all BeanPostProcessors (for example: not eligible for auto-proxying)
根据这个 SO answer，这意味着MainRealm事务管理器没有进行后处理，因此任何 @Transactional 注释都会被忽略。如果是这样，我该如何纠正？
编辑2根据这个SO问题：“换句话说，如果我编写自己的BeanPostProcessor，并且该类直接引用上下文中的其他bean，那么那些引用的bean将不符合自动代理的条件，并且会记录一条消息那种效果。” 我刚刚检查了一下ShiroFilterFactoryBean，它实际上是一个 BeanPostProcessor。问题是它需要一个SecurityManager实例，而这个实例又需要一个MainRealm实例。所以这两个 bean 都是自动装配的，因此没有资格进行代理。我觉得我更接近解决方案，但我仍然无法解决它。