Apache Shiro: как принудительно изменить пароль?

Вы можете использовать свое решение, но, вероятно, лучше иметь такое:

1. Вы делаете свое собственное царство

   MyRealm extends AuthorizingRealm {
       protected AuthenticationInfo doGetAuthenticationInfo(AuthenticationToken token) throws AuthenticationException {
       }
   }
   

   Здесь, в doGetAuthenticationInfo, вы проверите учетные данные и создадите исключение, если пароль необходимо изменить. Не стесняйтесь расширять область, используемую в настоящее время.

2. В вашем EnvironmentLoaderListener вы регистрируете свою область

3. Возможно, в конце концов вам понадобится фильтр для перенаправления на правильную страницу, или если вы используете REST (например, Джерси), у вас может быть сопоставитель исключений, который что-то ответит клиенту вашего браузера.

У меня было аналогичное требование, которое было для OTP после аутентификации, и я использовал обычный фильтр, чтобы отфильтровать все запросы. СДЕЛАЙТЕ атрибут используемого bean-компонента, например lastPasswordChangedDate, или может быть isPasswordChangerequired, как вам нравится. и сравните его в фильтре.

Мой простой код otpFliter выглядит следующим образом, но вы можете сделать свой собственный в соответствии с потребностями, например jsf и т. д.:

/**
 * Servlet Filter implementation class OTPFilter
 */
@WebFilter(urlPatterns = {"/*"},initParams={@WebInitParam(name="enabled",value="0")})
public class OTPFilter implements Filter {

    /**
     * Default constructor. 
     */

    boolean enabled=true;


    public OTPFilter() {
        // TODO Auto-generated constructor stub
    }

    /**
     * @see Filter#destroy()
     */
    public void destroy() {
        // TODO Auto-generated method stub
    }

    /**
     * @see Filter#doFilter(ServletRequest, ServletResponse, FilterChain)
     */
    public void doFilter(ServletRequest request, ServletResponse response, FilterChain chain) throws IOException, ServletException {
        // TODO Auto-generated method stub
        // place your code here

        // pass the request along the filter chain
        //System.out.println(enabled);
            if(enabled){
            if(SecurityUtils.getSubject().getPrincipal()!=null){
                if(request instanceof HttpServletRequest ){
                    HttpSession session = ((HttpServletRequest) request).getSession();
                    LoggedInUser user =  (LoggedInUser) session.getAttribute("userinfo");
                    String url = ((HttpServletRequest) request).getRequestURL().toString();
                    //System.out.println("url is "+ url);

                    if( !url.contains("public") && !user.isOTPverified()){



                        if(user.getOTP() == null)
                            {
                                user.setOTP(OTPUtils.generateOTP());
                            }
                        //user.setOTPverified(true);                        
                        ((HttpServletRequest) request).getRequestDispatcher("OTP.jsp").forward(request, response);

                        return;
                    }
                }
            }


            }

        chain.doFilter(request, response);
    }

    /**
     * @see Filter#init(FilterConfig)
     */
    public void init(FilterConfig fConfig) throws ServletException {
        // TODO Auto-generated method stub
        //System.out.println("fConfig.getInitParameter :" + fConfig.getInitParameter("enabled"));
         enabled = fConfig.getInitParameter("enabled").equals("1");
    }

}