Shiro 报UnavailableSecurityManagerException

<think>好的，我现在需要解决用户在Shiro整合SSE时遇到的UnavailableSecurityManagerException问题。首先，我得先理解这个异常的原因。根据经验，Shiro需要SecurityManager来管理安全操作，如果线程中无法获取到SecurityManager，就会抛出这个异常。SSE通常是异步的，可能在新的线程中运行，而Shiro的安全信息可能没有正确传递到新线程，导致SecurityManager不可用。 接下来，我应该考虑如何将Shiro的安全上下文传递到新线程中。Shiro提供了Subject.associateWith方法，可以将当前Subject绑定到Runnable或Callable中。用户可能在处理SSE请求时没有正确包装异步任务，导致新线程无法访问SecurityManager。 然后，需要检查用户代码中处理SSE的部分，尤其是线程创建和任务提交的地方。确保所有涉及Shiro权限检查的操作都包装在Subject.associateWith中。另外，还要确认Shiro的SecurityManager是否已正确初始化，并且在Web应用启动时被设置到SecurityUtils中。 可能还需要检查Shiro的Filter配置是否正确，确保请求在进入SSE端点之前已经过Shiro的过滤链，这样Subject才能被正确绑定到当前线程。如果SSE端点被Shiro的过滤器排除在外，可能导致SecurityManager未被初始化。 最后，建议用户使用Shiro提供的线程上下文传递方法，并提供一个示例代码片段，展示如何正确包装异步任务。同时，提醒用户在配置中确保SecurityManager的正确初始化和过滤链的设置。</think>### Shiro 整合 SSE 时出现 UnavailableSecurityManagerException 的解决方案 #### 问题原因 当使用 Apache Shiro 与 Server-Sent Events (SSE) 整合时，`UnavailableSecurityManagerException` 通常是由于 **异步线程中无法获取 Shiro 的 SecurityManager** 导致的。SSE 的长连接特性会触发异步处理，而 Shiro 的安全上下文（如 Subject、权限信息）默认绑定到原始请求线程，无法自动传递到新线程[^1]。 --- ### 解决方案分步说明 #### 1. 显式传递 Shiro 安全上下文 在 SSE 的异步线程中，需手动将 Shiro 的 `Subject` 绑定到当前线程： ```java // 在 SSE 的异步任务执行前绑定 Subject Subject subject = SecurityUtils.getSubject(); try { subject.execute(() -> { // 在此处编写 SSE 业务逻辑 SseEmitter emitter = new SseEmitter(); emitter.send("授权通过的数据"); return emitter; }); } finally { // 清理线程绑定（Shiro 会自动处理，此处仅作演示） } ``` #### 2. 配置 Shiro 的 SecurityManager 确保 `SecurityManager` 在应用启动时全局可用（如 Spring Boot 中）： ```java @Bean public SecurityManager securityManager() { DefaultWebSecurityManager securityManager = new DefaultWebSecurityManager(); securityManager.setRealm(yourCustomRealm); // 替换为实际 Realm SecurityUtils.setSecurityManager(securityManager); // 关键！ return securityManager; } ``` #### 3. 调整 Shiro 过滤器配置 若使用 Servlet 过滤器，需允许 SSE 端点通过 Shiro 的认证链： ```java @Configuration public class ShiroConfig { @Bean public ShiroFilterFactoryBean shiroFilter() { ShiroFilterFactoryBean factory = new ShiroFilterFactoryBean(); Map<String, String> filterChain = new LinkedHashMap<>(); filterChain.put("/sse-endpoint/**", "authc"); // 要求认证 factory.setFilterChainDefinitionMap(filterChain); return factory; } } ``` #### 4. 使用线程池增强控制（可选） 通过自定义线程池包装任务，确保 Shiro 上下文传递： ```java ExecutorService executor = Executors.newCachedThreadPool(r -> { Thread thread = new Thread(r); Subject currentSubject = SecurityUtils.getSubject(); return SecurityUtils.getSecurityManager().createSubjectThreadAssociation(thread, currentSubject); }); ``` --- ### 关键验证点 1. **线程上下文检查**：在 SSE 逻辑中打印当前线程 ID 和 Subject 信息： ```java System.out.println("当前线程: " + Thread.currentThread().getId()); System.out.println("Subject: " + SecurityUtils.getSubject().getPrincipal()); ``` 2. **权限注解测试**：在 SSE 控制器方法上添加 `@RequiresRoles("user")` 验证权限生效性 ---