Сильный URL-фильтр не работает

Question

Я создал простую страницу входа в JSF, и я использую Apache Shiro для обеспечения механизма аутентификации и авторизации, однако фильтры URL, указанные в файле shiro.ini, похоже, не работают.

В корневом каталоге WebContent у меня есть два файла с именем «test.xhtml» и «login.xhtml», которые будут доступны всем, без необходимости входа в систему. У меня также есть подкаталог под названием «protected», содержащий файл с именем «success.xhtml», который должен быть доступен только после входа пользователя.

Когда раздел [urls] файла shiro.ini содержит /protected/** = myFilter, пользователь может получить доступ к странице protected/success.xhtml без входа в систему. Когда раздел [urls] файла shiro.ini содержит /** = myFilter, страница xhtml не отображается JSF, и вместо этого пользователю предлагается загрузить файл xhtml.

Кто-нибудь может предложить, как я могу настроить Shiro, чтобы разрешить кому-либо доступ к страницам в корневом каталоге WebContent, но разрешать только пользователям, которые вошли в систему для доступа к страницам в защищенном подкаталоге?

Я использую Apache MyFaces 2.1.5 и Shiro 1.2.1.

Полное содержание в shiro.ini файла выглядит следующим образом:

[main] 
myFilter = org.apache.shiro.web.filter.authc.PassThruAuthenticationFilter 
myFilter.loginUrl = /login.xhtml 
myFilter.successUrl = /protected/success.xhtml 

[users] 
user01 = user01, Users 
user02 = user02, Users 

[roles] 
Users = * 

[urls] 
/protected/** = myFilter 

Содержимое файла web.xml выглядит следующим образом:

<?xml version="1.0" encoding="UTF-8"?> 
<web-app id="WebApp_ID" version="3.0" xmlns="http://java.sun.com/xml/ns/javaee" xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance" xsi:schemaLocation="http://java.sun.com/xml/ns/javaee http://java.sun.com/xml/ns/javaee/web-app_3_0.xsd"> 
    <display-name>FooBarWeb</display-name> 
    <context-param> 
     <param-name>javax.servlet.jsp.jstl.fmt.localizationContext</param-name> 
     <param-value>resources.application</param-value> 
    </context-param> 
    <context-param> 
     <description> 
     State saving method: 'client' or 'server' (=default). See JSF Specification 2.5.2</description> 
     <param-name>javax.faces.STATE_SAVING_METHOD</param-name> 
     <param-value>client</param-value> 
    </context-param> 
    <context-param> 
     <description> 

    This parameter tells MyFaces if javascript code should be allowed in 
    the rendered HTML output. 
    If javascript is allowed, command_link anchors will have javascript code 
    that submits the corresponding form. 
    If javascript is not allowed, the state saving info and nested parameters 
    will be added as url parameters. 
    Default is 'true'</description> 
     <param-name>org.apache.myfaces.ALLOW_JAVASCRIPT</param-name> 
     <param-value>true</param-value> 
    </context-param> 
    <context-param> 
     <description> 

    If true, rendered HTML code will be formatted, so that it is 'human-readable' 
    i.e. additional line separators and whitespace will be written, that do not 
    influence the HTML code. 
    Default is 'true'</description> 
     <param-name>org.apache.myfaces.PRETTY_HTML</param-name> 
     <param-value>true</param-value> 
    </context-param> 
    <context-param> 
     <param-name>org.apache.myfaces.DETECT_JAVASCRIPT</param-name> 
     <param-value>false</param-value> 
    </context-param> 
    <context-param> 
     <description> 

    If true, a javascript function will be rendered that is able to restore the 
    former vertical scroll on every request. Convenient feature if you have pages 
    with long lists and you do not want the browser page to always jump to the top 
    if you trigger a link or button action that stays on the same page. 
    Default is 'false' 
</description> 
     <param-name>org.apache.myfaces.AUTO_SCROLL</param-name> 
     <param-value>true</param-value> 
    </context-param> 

    <listener> 
     <listener-class>org.apache.shiro.web.env.EnvironmentLoaderListener</listener-class> 
    </listener> 
    <filter> 
     <filter-name>ShiroFilter</filter-name> 
     <filter-class>org.apache.shiro.web.servlet.ShiroFilter</filter-class> 
    </filter> 
    <filter-mapping> 
     <filter-name>ShiroFilter</filter-name> 
     <url-pattern>/*</url-pattern> 
     <dispatcher>REQUEST</dispatcher> 
     <dispatcher>FORWARD</dispatcher> 
     <dispatcher>INCLUDE</dispatcher> 
     <dispatcher>ERROR</dispatcher> 
    </filter-mapping> 

    <listener> 
     <listener-class>org.apache.myfaces.webapp.StartupServletContextListener</listener-class> 
    </listener> 
    <servlet> 
     <servlet-name>Faces Servlet</servlet-name> 
     <servlet-class>javax.faces.webapp.FacesServlet</servlet-class> 
     <load-on-startup>1</load-on-startup> 
     <enabled>true</enabled> 
     <async-supported>false</async-supported> 
    </servlet> 
    <servlet-mapping> 
     <servlet-name>Faces Servlet</servlet-name> 
     <url-pattern>/faces/*</url-pattern> 
    </servlet-mapping> 
    <welcome-file-list> 
     <welcome-file>index.html</welcome-file> 
     <welcome-file>index.htm</welcome-file> 
     <welcome-file>index.jsp</welcome-file> 
     <welcome-file>default.html</welcome-file> 
     <welcome-file>default.htm</welcome-file> 
     <welcome-file>default.jsp</welcome-file> 
    </welcome-file-list> 
</web-app> 

Answer 1

После некоторого дальнейшего исследования выясняется, что URL-адреса должны иметь префикс «/ faces». Shiro.ini файл должен выглядеть следующим образом ....

[main] 
myFilter = org.apache.shiro.web.filter.authc.PassThruAuthenticationFilter 
myFilter.loginUrl = /faces/login.xhtml 
myFilter.successUrl = /faces/protected/success.xhtml 

[users] 
user01 = user01, Users 
user02 = user02, Users 

[roles] 
Users = * 

[urls] 
/faces/protected/** = myFilter 

С добавлением/лицами к URL-Сиро теперь неаутентифицированные пользователям доступа к страницам внутри поддиректории защищенной.