Shiro+Webseal做单点登录

摘要: Shiro+Webseal做单点登录的要点就是设置Shiro的密码校验Hash

在日常的项目中，使用Shiro通常都会实现自己的AuthorizingRealm，在实现AuthorizingRealm的同时需要设置Hash算法及迭代次数。如下：

HashedCredentialsMatcher matcher = new HashedCredentialsMatcher(SystemService.HASH_ALGORITHM);
matcher.setHashIterations(SystemService.HASH_INTERATIONS);
setCredentialsMatcher(matcher);

与Webseal做SSO时，只能获取到用户的ID，在没有密码的情况下告诉Shiro使用无密码验证。

setCredentialsMatcher(new AllowAllCredentialsMatcher());

AllowAllCredentialsMatche始终返回true。

最后一步就是在LoginController里加个SSO的方法，获取用户ID，生成Token对象，调用 login

UsernamePasswordToken token = new UsernamePasswordToken();

token.setUsername(userId);

UserUtils.getSubject().login(token);

还可以在SSO方法里做请求来源服务器的识别等，加强安全。