一 shiro自带的filter:下面主要叙述顺序是 NameableFilter-》OncePerRequestFilter-》AdviceFilter-》PathMatchingFilter-》AuthenticationFilter（AuthenticatingFilter）-》FromAuthenticationFilter

①NameableFilter有一个name属性，定义每一个filter的名字。在FilterChainManager中会调用配置文件中的配置属性名字来为每一个filter命名以及为默认的filter命名，如authc。

②OncePerRequestFilter保证客户端请求后该filter的doFilter只会执行一次。

可以看出doFilter的实质内容是在doFilterInternal方法中完成的。所以实质上是保证每一个filter的 doFilterInternal只会被执行一次，例如在配置中 配置路径 /user/** = authc,authc.则只会执行authc中的doFilterInternal一次。doFilterInternal非常重要，在shiro整个filter体系中的核心方法及实质入口。另外，shiro是通过在request中设置一个该filter特定的属性值来保证该filter只会执行一次的。

其次可以看到有一个enabled属性，表示是否启用这个filter，默认是true，可以设置成false，则会跳过这个filter的doFilterInternal方法而去执行filter链中其他filter。

③AdviceFilter中主要是对doFilterInternal做了更细致的切分

这有点像springmvc中的Interceptor，doFilterInternal会先调用preHandle做一些前置判断，如果返回false则filter链不继续往下执行，postHandle在目标方法（即客户端请求的接口）正常（未抛出异常）执行后完成一些操作，默认不做任何操作。在finally中的cleanup方法中会调用afterCompletion方法，不管目标方法是否出现异常都会继续操作。默认也是空。 AdviceFilter总体是对OncePerRequestFilter中的doFilterInternal进一步细化控制。

④PathMatchingFilter主要是对preHandle做进一步细化控制，该filter为抽象类，其他路径直接通过：preHandle中，若请求的路径非该filter中配置的拦截路径，则直接返回true进行下一个filter。若包含在此filter路径中，则会在isFilterChainContinued做一些控制，该方法中会调用onPreHandle方法，所以子类可以在onPreHandle中编写filter控制流程代码（返回true或false）。

 ⑤AccessControlFilter中的对onPreHandle方法做了进一步细化，isAccessAllowed方法和onAccessDenied方法达到控制效果。这两个方法都是抽象方法，由子类去实现。到这一层应该明白。isAccessAllowed和onAccessDenied方法会影响到onPreHandle方法，而onPreHandle方法会影响到preHandle方法，而preHandle方法会达到控制filter链是否执行下去的效果。所以如果正在执行的filter中isAccessAllowed和onAccessDenied都返回false，则整个filter控制链都将结束，不会到达目标方法（客户端请求的接口），而是直接跳转到某个页面（由filter定义的，将会在authc中看到）。

⑥AuthenticationFilter和AuthenticatingFilter认证的filter，在抽象类中AuthenticatingFilter实现了isAccessAllowed方法，该方法是用来判断用户是否已登录，若未登录再判断是否请求的是登录地址，是登录地址则放行，否则返回false终止filter链。

 另外可以看到提供了executeLogin方法实现用户登录的，还定义了onLoginSuccess和onLoginFailure方法，在登录成功或者失败时做一些操作。登录将在下面详细说明。

⑦FormAuthenticationFiltershiro提供的登录的filter，如果用户未登录，即AuthenticatingFilter中的isAccessAllowed判断了用户未登录，则会调用onAccessDenied方法做用户登录操作。若用户请求的不是登录地址，则跳转到登录地址，并且返回false直接终止filter链。若用户请求的是登录地址，若果是post请求则进行登录操作，由AuthenticatingFilter中提供的executeLogin方法执行。否则直接通过继续执行filter链，并最终跳转到登录页面（因为用户请求的就是登录地址，若不是登录地址也会重定向到登录地址）.

AuthenticatingFilter中的executeLogin

若登录成功返回false（FormAuthenticationFiltershiro的onLoginSuccess默认false），则表示终止filter链，直接重定向到成功页面，甚至不到达目标方法直接返回了。若登录失败，直接返回true（onLoginFailure返回false），继续执行filter链并最终跳转到登录页面，该方法还会设置一些登录失败提示 shiroLoginFailure，在目标方法中可以根据这个错误提示制定客户端更加友好的错误提示。

二 自定义filter

 一般自定义filter可以继承三种：

①OncePerRequestFilter只需实现doFilterInternal方法即可，在这里面实现filter的功能。切记在该方法中最后调用filterChain.doFilter(request, response)，允许filter链继续执行下去。可以在这个自定义filter中覆盖isEnable达到控制该filter是否需要被执行（实质是doFilterInternal方法）以达到动态控制的效果，一般不建议直接继承这个类;

②AdviceFilter  中提供三个方法preHandle postHandle afterCompletion：若需要在目标方法执行前后都做一些判断的话应该继承这个类覆盖preHandle 和postHandle 。

③PathMatchingFilter中preHandle实质会判断onPreHandle来决定是否继续往下执行。所以只需覆盖onPreHandle方法即可。

④AccessControlFilter：最常用的，该filter中onPreHandle调用isAccessAllowed和onAccessDenied决定是否继续执行。一般继承该filter，isAccessAllowed决定是否继续执行。onAccessDenied做后续的操作，如重定向到另外一个地址、添加一些信息到request域等等。

 ④若要自定义登录filter，一般是由于前端传过来的需求所定义的token与shiro默认提供token的不符，可以继承AuthenticatingFilter ，在这里面实现createToken来创建自定义token。另外需要自定义凭证匹配器credentialsMatcher。重写public boolean doCredentialsMatch(AuthenticationToken token, AuthenticationInfo info)即可。realm也需要自定义以返回自定义的token。

三shiro登录

    由前面filter链可以看出登录已经很清晰了。shiro提供的FormAuthenticationFilter认证过滤器，继承了AuthenticatingFilter ，若已登录则isAccessAllowed直接通过，否则在 onAccessDenied中判断是否是登录请求，若是请求登录页面，直接通过，若是post提交登录信息则会进行登录操作。否则直接跳转到登录页面。登录是由shiro的securityManager完成的，securityManager从Realm获取用户的真实身份，从FormAuthenticationFilter的createToken获取用户提交的token，credentialsMatcher完成是否匹配成功操作。

shiro Filter--拦截器