A. 怎么设置shiro怎么设置session有效时间最大
KeepAlive on KeepAliveTimeout 15 这样就能限制每个session的保持时间是15秒。 session的使用可以使得很多请求都可以通过同一个tcp连接来发送，节约了网络资源和系统资源
B. shiro 怎么知道session 什么时候过期的
Session时间过期是你自己设置的。
推荐一套完整的Shiro Demo，免费的。
Shiro介绍文档：http://www.sojson.com/shiro
Demo已经部署到线上，地址是http://shiro.itboy.net
管理员帐号：admin，密码：sojson.com 如果密码错误，请用sojson。PS：你可以注册自己的帐号，然后用管理员赋权限给你自己的帐号，但是，每20分钟会把数据初始化一次。建议自己下载源码，让Demo跑起来，然后跑的更快。
C. shiro中标签无效，要刷新多次才能有效果
这个检查你的环境，理论上是不会存在的。
推荐一套完整的Shiro Demo，免费的。
Shiro介绍文档：http://www.sojson.com/shiro
Demo已经部署到线上，地址是http://shiro.itboy.net
管理员帐号：admin，密码：sojson.com 如果密码错误，请用sojson。PS：你可以注册自己的帐号，然后用管理员赋权限给你自己的帐号，但是，每20分钟会把数据初始化一次。建议自己下载源码，让Demo跑起来，然后跑的更快。
D. spring3支持shiro注解么 为什么我的注解加上就抛异常
• @Controller
• @Service
• @Autowired
• @RequestMapping
• @RequestParam
• @ModelAttribute
• @Cacheable
• @CacheFlush
• @Resource
• @PostConstruct
• @PreDestroy
• @Repository
• @Component （不推荐使用）
• @Scope
• @SessionAttributes
• @InitBinder
• @Required
• @Qualifier
@Controller
• 例如
@Controller
public class SoftCreateController extends SimpleBaseController {}
• 或者
@Controller("softCreateController")
• 说明
@Controller 负责注册一个bean 到spring 上下文中，bean 的ID 默认为类名称开头字母小写
@Service
• 例如
@Service
public class SoftCreateServiceImpl implements ISoftCreateService {}
• 或者
@Service("softCreateServiceImpl")
• 说明
@Service 负责注册一个bean 到spring 上下文中，bean 的ID 默认为类名称开头字母小写
@Autowired
• 例如
@Autowired
private ISoftPMService softPMService;
• 或者
@Autowired(required=false)
private ISoftPMService softPMService = new SoftPMServiceImpl();
• 说明
@Autowired 根据bean 类型从spring 上线文中进行查找，注册类型必须唯一，否则报异常。与@Resource 的区别在于，@Resource 允许通过bean 名称或bean 类型两种方式进行查找@Autowired(required=false) 表示，如果spring 上下文中没有找到该类型的bean 时， 才会使用new SoftPMServiceImpl();
@Autowired 标注作用于 Map 类型时，如果 Map 的 key 为 String 类型，则 Spring 会将容器中所有类型符合 Map 的 value 对应的类型的 Bean 增加进来，用 Bean 的 id 或 name 作为 Map 的 key。
@Autowired 还有一个作用就是，如果将其标注在 BeanFactory 类型、ApplicationContext 类型、ResourceLoader 类型、ApplicationEventPublisher 类型、MessageSource 类型上，那么 Spring 会自动注入这些实现类的实例，不需要额外的操作。
@RequestMapping
• 类
@Controller
@RequestMapping("/bbtForum.do")
public class BbtForumController {
@RequestMapping(params = "method=listBoardTopic")
public String listBoardTopic(int topicId,User user) {}
}
• 方法
@RequestMapping("/softpg/downSoftPg.do")
@RequestMapping(value="/softpg/ajaxLoadSoftId.do",method = POST)
@RequestMapping(value = "/osu/proct/detail.do", params = , method =POST)
• 说明
@RequestMapping 可以声明到类或方法上
• 参数绑定说明
如果我们使用以下的 URL 请求：
topicId URL 参数将绑定到 topicId 入参上，而 userId 和 userName URL 参数将绑定到 user 对象的 userId 和 userName 属性中。和 URL 请求中不允许没有 topicId 参数不同，虽然 User 的 userId 属性的类型是基本数据类型，但如果 URL 中不存在 userId 参数，Spring 也不会报错，此时 user.userId 值为 0 。如果 User 对象拥有一个 dept.deptId 的级联属性，那么它将和 dept.deptId URL 参数绑定。
@RequestParam
• 参数绑定说明
@RequestParam("id")
listBoardTopic(@RequestParam("id")int topicId,User user) 中的 topicId 绑定到 id 这个 URL 参数， 那么可以通过对入参使用 @RequestParam 注解来达到目的
@RequestParam(required=false)：参数不是必须的，默认为true
@RequestParam(value="id",required=false)
请求处理方法入参的可选类型
• Java 基本数据类型和 String
默认情况下将按名称匹配的方式绑定到 URL 参数上，可以通过 @RequestParam 注解改变默认的绑定规则
• request/response/session
既可以是 Servlet API 的也可以是 Portlet API 对应的对象，Spring 会将它们绑定到Servlet 和 Portlet 容器的相应对象上
• org.springframework.web.context.request.WebRequest
内部包含了 request 对象
• java.util.Locale
绑定到 request 对应的 Locale 对象上
• java.io.InputStream/java.io.Reader
可以借此访问 request 的内容
• java.io.OutputStream / java.io.Writer
可以借此操作 response 的内容
• 任何标注了 @RequestParam 注解的入参
被标注 @RequestParam 注解的入参将绑定到特定的 request 参数上。
• java.util.Map / org.springframework.ui.ModelMap
它绑定 Spring MVC 框架中每个请求所创建的潜在的模型对象，它们可以被 Web 视图对象访问（如 JSP ）
• 命令/ 表单对象（注：一般称绑定使用 HTTP GET 发送的 URL 参数的对象为命令对象，而称绑定使用HTTP POST 发送的 URL 参数的对象为表单对象）
它们的属性将以名称匹配的规则绑定到 URL 参数上，同时完成类型的转换。
而类型转换的规则可以通过 @InitBinder 注解或通过 HandlerAdapter 的配置进行调 整
• org.springframework.validation.Errors / org.springframework.validation.BindingResult
为属性列表中的命令/ 表单对象的校验结果，注意检验结果参数必须紧跟在命令/ 表单对象的后面
• org.springframework.web.bind.support.SessionStatus
可以通过该类型 status 对象显式结束表单的处理，这相当于触发 session 清除其中的通过@SessionAttributes 定义的属性
请求处理方法返回值的可选类型
• void
此时逻辑视图名由请求处理方法对应的 URL 确定，如以下的方法：
@RequestMapping("/welcome.do")
public void welcomeHandler() {}
对应的逻辑视图名为 “ welcome ”
• String
此时逻辑视图名为返回的字符，如以下的方法：
@RequestMapping(method = RequestMethod.GET)
public String setupForm(@RequestParam("ownerId") int ownerId, ModelMap model) {
Owner owner = this.clinic.loadOwner(ownerId);
model.addAttribute(owner);
return "ownerForm";
}
对应的逻辑视图名为 “ ownerForm ”
• org.springframework.ui.ModelMap
和返回类型为 void 一样，逻辑视图名取决于对应请求的 URL ，如下面的例子：
@RequestMapping("/vets.do")
public ModelMap vetsHandler() {
return new ModelMap(this.clinic.getVets());
}
对应的逻辑视图名为 “ vets ” ，返回的 ModelMap 将被作为请求对应的模型对象，可以在 JSP 视图页面中访问到。
• ModelAndView
当然还可以是传统的 ModelAndView 。
@ModelAttribute
• 作用域：request
• 例如
@RequestMapping("/base/userManageCooper/init.do")
public String handleInit(@ModelAttribute("queryBean") ManagedUser sUser,Model model,){
• 或者
@ModelAttribute("coopMap")// 将coopMap 返回到页 面
public Map<Long,CooperatorInfo> coopMapItems(){}
• 说明
@ModelAttribute 声明在属性上，表示该属性的value 来源于model 里"queryBean" ，并被保存到model 里@ModelAttribute 声明在方法上，表示该方法的返回值被保存到model 里
@Cacheable 和@CacheFlush
• @Cacheable ：声明一个方法的返回值应该被缓 存
例如：@Cacheable(modelId = "testCaching")
• @CacheFlush ：声明一个方法是清空缓存的触发器
例如：@CacheFlush(modelId = "testCaching")
• 说明
要配合缓存处理器使用，参考：
@Resource
• 例如
@Resource
private DataSource dataSource; // inject the bean named 'dataSource'
• 或者
@Resource(name="dataSource")
@Resource(type=DataSource.class)
• 说明
@Resource 默认按bean 的name 进行查找，如果没有找到会按type 进行查找，
此时与@Autowired 类 似
在没有为 @Resource 注解显式指定 name 属性的前提下，如果将其标注在 BeanFactory 类型、ApplicationContext 类型、ResourceLoader 类型、ApplicationEventPublisher 类型、MessageSource 类型上，那么 Spring 会自动注入这些实现类的实例，不需要额外的操作。此时 name 属性不需要指定 ( 或者指定为"")，否则注入失败；
@PostConstruct 和@PreDestroy
• @PostConstruct
在方法上加上注解@PostConstruct ，这个方法就会在Bean 初始化之后被Spring 容器执 行
（注：Bean 初始化包括，实例化Bean ，并装配Bean 的属性（依赖注入））。
• @PreDestroy
在方法上加上注解@PreDestroy ，这个方法就会在Bean 被销毁前被Spring 容器执行。
@Repository
• 与@Controller 、@Service 类似，都是向spring 上下文中注册bean ，不在赘述。
@Component （不推荐使用）
• @Component
@Component 是所有受Spring 管理组件的通用形式，Spring 还提供了更加细化的注解形式： @Repository 、@Service 、@Controller ，它们分别对应存储层Bean ，业务层Bean ，和展示层Bean 。
目前版本（2.5 ）中，这些注解与@Component 的语义是一样的，完全通用， 在Spring 以后的版本中可能会给它们追加更多的语义。 所以，我们推荐使用@Repository 、@Service 、@Controller 来替代@Component 。
@Scope
• 例如
@Scope("session")
@Repository()
public class UserSessionBean implementsSerializable {}
• 说明
在使用XML 定义Bean 时，可以通过bean 的scope 属性来定义一个Bean 的作用范围，
同样可以通过@Scope 注解来完成
@Scope中可以指定如下值：
singleton:定义bean的范围为每个spring容器一个实例（默认值）
prototype:定义bean可以被多次实例化（使用一次就创建一次）
request:定义bean的范围是http请求（springMVC中有效）
session:定义bean的范围是http会话（springMVC中有效）
global-session:定义bean的范围是全局http会话（portlet中有效）
@SessionAttributes
• 说明
Spring 允许我们有选择地指定 ModelMap 中的哪些属性需要转存到 session 中，
以便下一个请求属对应的 ModelMap 的属性列表中还能访问到这些属性。
这一功能是通过类定义处标注 @SessionAttributes 注解来实现的。
@SessionAttributes 只能声明在类上，而不能声明在方法上。
• 例如
@SessionAttributes("currUser") // 将ModelMap 中属性名为currUser 的属性
@SessionAttributes()
@SessionAttributes(types = User.class)
@SessionAttributes(types = )
@SessionAttributes(types = ,value=)
@InitBinder
• 说明
如果希望某个属性编辑器仅作用于特定的 Controller ，
可以在 Controller 中定义一个标注 @InitBinder 注解的方法，
可以在该方法中向 Controller 了注册若干个属性编辑器
• 例如
@InitBinder
public void initBinder(WebDataBinder binder) {
SimpleDateFormat dateFormat = new SimpleDateFormat("yyyy-MM-dd");
dateFormat.setLenient(false);
binder.registerCustomEditor(Date.class, new CustomDateEditor(dateFormat, false));
}
@Required
• 例如
@required
public setName(String name){}
• 说明
@ required 负责检查一个bean在初始化时其声明的 set方法是否被执行， 当某个被标注了 @Required 的 Setter 方法没有被调用，则 Spring 在解析的时候会抛出异常，以提醒开发者对相应属性进行设置。 @Required 注解只能标注在 Setter 方法之上。因为依赖注入的本质是检查 Setter 方法是否被调用了，而不是真的去检查属性是否赋值了以及赋了什么样的值。如果将该注解标注在非 setXxxx() 类型的方法则被忽略。
@Qualifier
• 例如
@Autowired
@Qualifier("softService")
private ISoftPMService softPMService;
• 说明
使用@Autowired 时，如果找到多个同一类型的bean，则会抛异常，此时可以使用 @Qualifier("beanName")，明确指定bean的名称进行注入，此时与 @Resource指定name属性作用相同。
E. Shiro的 rememberMe 功能使用指导为什么rememberMe设置了没作用
官方的文档有说明,isRemembered和isAuthenticated是互斥的
isRemembered是在服务器上记录一个cookie说明你这个用户登陆过并且被记住了
效果类似于亚马逊页面上,他会记住近期登陆过的用户(Subject)
但是你进行敏感操作的时候还是要重新登录敲账号密码的,也就是必须重新进行Authentication
也就是说如果你的拦截器配置了authc或者其他需要认证之后才能使用的
shiro的rememberMe功能就不起作用了
印象中有一个url拦截器可以过滤这个,不记得名字了
F. spring mvc拦截器与shiro拦截器有什么区别
springmvc的拦截器是优先级高于shiro的，shiro就是自定义实现了spring mvc的filter吧，如果足够牛逼的话是可以不用shiro的，完全可以自己实现安全拦截的
G. spring shiro注解配置不生效
不知道你解决了没，你是不是用了springmvc，如果使用springmvc的话，在springmvc-servlet.xml文件中也要添加几行shiro需要使用的代码，添加内容如下:
<bean class="org.springframework.web.servlet.handler.">
<property name="exceptionMappings">
<props>
<prop key="org.apache.shiro.authz.UnauthorizedException">/403</prop>
</props>
</property>
</bean>
<bean class="org.springframework.aop.framework.autoproxy." depends-on="lifecycleBeanPostProcessor"/>
<bean class="org.apache.shiro.spring.security.interceptor.">
<property name="securityManager" ref="securityManager"/>
</bean>
这样在使用shiro的权限注解的时候就可用了
H. shiro session过期后 tomcat会删除吗
session从创建到销毁的时间为session持久化时间,每次请求只会判断session是否过期,tomcat会定时检查session是否有效,无效则删除。
I. shiro做无状态的token验证登录，整体流程是怎么样的
需要自主实现oauth，市面上也有现成的，也就是带着token去请求，然后shiro Filter判断token有效给予通过。
推荐一套完整的Shiro Demo，免费的。
Shiro介绍文档：http://www.sojson.com/shiro
Demo已经部署到线上，地址是http://shiro.itboy.net
管理员帐号：admin，密码：sojson.com 如果密码错误，请用sojson。PS：你可以注册自己的帐号，然后用管理员赋权限给你自己的帐号，但是，每20分钟会把数据初始化一次。建议自己下载源码，让Demo跑起来，然后跑的更快。
J. apache shiro 做的哪些事
Apache Shiro 是ASF旗下的一款开源软件（Shiro发音为“shee-roh”，日语“堡垒（Castle）”的意思），提供了一个强大而灵活的安全框架。可为任何应用提供安全保障— 从命令行应用、移动应用到大型网络及企业应用。
Apache Shiro提供了认证、授权、加密和会话管理功能，将复杂的问题隐藏起来，提供清晰直观的API使开发者可以很轻松地开发自己的程序安全代码。并且在实现此目标时无须依赖第三方的框架、容器或服务，当然也能做到与这些环境的整合，使其在任何环境下都可拿来使用。
Shiro将目标集中于Shiro开发团队所称的“四大安全基石”-认证（Authentication）、授权（Authorization）、会话管理（Session Management）和加密（Cryptography）：
认证（Authentication）：用户身份识别。有时可看作为“登录（login）”，它是用户证明自己是谁的一个行为。
授权（Authorization）：访问控制过程，好比决定“认证（who）”可以访问“什么（what）”.
会话管理（SessionManagement）：管理用户的会话（sessions），甚至在没有WEB或EJB容器的环境中。管理用户与时间相关的状态。
加密（Cryptography）：使用加密算法保护数据更加安全，防止数据被偷窥。
此外还有一些附加的功能进行支持和加强，例如：
Web支持：利用Shiro的web支持API可以很容易地实现web程序安全；
Caching:Caching在Apache Shiro的API中是一等公民，确保安全认证的动作快速而有效。
并发（Concurrency）：Apache Shiro支持多线程；
测试（Testing）：支持测试，帮助你开发单元和综合测试程序确保你的代码如你所预期的那样进行安全认证。
“Run As”：允许用户使用其他用户身份（如果被允许），这在执行某些管理角本中非常有用。
“Remember Me”：在整个会话周期中（sessions）记住用户的身份，用户只需要在程序强制要求登录的情况下才需要登录。