在一些环境中，可能需要把Web应用做成无状态的，即服务器端无状态，就是说服务器端不会存储像会话这种东西，而是每次请求时带上相应的用户名进行登录。如一些REST风格的API，如果不使用OAuth2协议，就可以使用如REST+HMAC认证进行访问。HMAC（Hash-based Message Authentication Code）：基于散列的消息认证码，使用一个密钥和一个消息作为输入，生成它们的消息摘要。注意该密钥只有客户端和服务端知道，其他第三方是不知道的。访问时使用该消息摘要进行传播，服务端然后对该消息摘要进行验证。如果只传递用户名+密码的消息摘要，一旦被别人捕获可能会重复使用该摘要进行认证。解决办法如：
1、每次客户端申请一个Token，然后使用该Token进行加密，而该Token是一次性的，即只能用一次；有点类似于OAuth2的Token机制，但是简单些；
2、客户端每次生成一个唯一的Token，然后使用该Token加密，，这样服务器端记录下这些Token，如果之前用过就认为是非法请求。
为了简单，本文直接对请求的数据（即全部请求的参数）生成消息摘要，即无法篡改数据，但是可能被别人窃取而能多次调用。解决办法如上所示。
服务器端
对于服务器端，不生成会话，而是每次请求时带上用户身份进行认证。
服务控制器
Java代码
当访问/hello服务时，需要传入param1、param2两个请求参数。
加密工具类
com.github.zhangkaitao.shiro.chapter20.codec.HmacSHA256Utils：
Java代码
对Map生成消息摘要主要用于对客户端/服务器端来回传递的参数生成消息摘要。
Subject工厂
Java代码
通过调用context.setSessionCreationEnabled(false)表示不创建会话；如果之后调用Subject.getSession()将抛出DisabledSessionException异常。
StatelessAuthcFilter
类似于FormAuthenticationFilter，但是根据当前请求上下文信息每次请求时都要登录的认证过滤器。
Java代码
获取客户端传入的用户名、请求参数、消息摘要，生成StatelessToken；然后交给相应的Realm进行认证。
StatelessToken
Java代码
用户身份即用户名；凭证即客户端传入的消息摘要。
StatelessRealm
用于认证的Realm。
Java代码
此处首先根据客户端传入的用户名获取相应的密钥，然后使用密钥对请求参数生成服务器端的消息摘要；然后与客户端的消息摘要进行匹配；如果匹配说明是合法客户端传入的；否则是非法的。这种方式是有漏洞的，一旦别人获取到该请求，可以重复请求；可以考虑之前介绍的解决方案。
Spring配置——spring-config-shiro.xml
Java代码
sessionManager通过sessionValidationSchedulerEnabled禁用掉会话调度器，因为我们禁用掉了会话，所以没必要再定期过期会话了。
Java代码
<beanid="statelessAuthcFilter"class="com.github.zhangkaitao.shiro.chapter20.filter.StatelessAuthcFilter"/>
每次请求进行认证的拦截器。
Java代码
所有请求都将走statelessAuthc拦截器进行认证。
其他配置请参考源代码。
SpringMVC学习请参考：
5分钟构建spring web mvc REST风格HelloWorld
跟我学SpringMVC
客户端
此处使用SpringMVC提供的RestTemplate进行测试。请参考如下文章进行学习：
Spring MVC测试框架详解——客户端测试
Spring MVC测试框架详解——服务端测试
此处为了方便，使用内嵌jetty服务器启动服务端：
Java代码
在整个测试开始之前开启服务器，整个测试结束时关闭服务器。
测试成功情况
Java代码
对请求参数生成消息摘要后带到参数中传递给服务器端，服务器端验证通过后访问相应服务，然后返回数据。
测试失败情况
Java代码
在生成请求参数消息摘要后，篡改了参数内容，服务器端接收后进行重新生成消息摘要发现不一样，报401错误状态码。
到此，整个测试完成了，需要注意的是，为了安全性，请考虑本文开始介绍的相应解决方案。
SpringMVC相关知识请参考
5分钟构建spring web mvc REST风格HelloWorld
跟我学SpringMVC
Spring MVC测试框架详解——客户端测试
Spring MVC测试框架详解——服务端测试
示例源代码：https://github.com/zhangkaitao/shiro-example
本文借鉴：
版权声明：欢迎转载，希望在你转载的同时，添加原文地址，谢谢配合
生活若剥去了理想梦想幻想，那生命便只是一堆空架子
