网络安全最全【Shiro安全框架 一】 十分钟带你熟悉Shiro的认证机制，详细的网络安全学习指南

本人从事网路安全工作12年，曾在2个大厂工作过，安全服务、售后服务、售前、攻防比赛、安全讲师、销售经理等职位都做过，对这个行业了解比较全面。

最近遍览了各种网络安全类的文章，内容参差不齐，其中不伐有大佬倾力教学，也有各种不良机构浑水摸鱼，在收到几条私信，发现大家对一套完整的系统的网络安全从学习路线到学习资料，甚至是工具有着不小的需求。

最后，我将这部分内容融会贯通成了一套282G的网络安全资料包，所有类目条理清晰，知识点层层递进，需要的小伙伴可以点击下方小卡片领取哦！下面就开始进入正题，如何从一个萌新一步一步进入网络安全行业。

学习路线图

其中最为瞩目也是最为基础的就是网络安全学习路线图，这里我给大家分享一份打磨了3个月，已经更新到4.0版本的网络安全学习路线图。

相比起繁琐的文字，还是生动的视频教程更加适合零基础的同学们学习，这里也是整理了一份与上述学习路线一一对应的网络安全视频教程。

网络安全工具箱

当然，当你入门之后，仅仅是视频教程已经不能满足你的需求了，你肯定需要学习各种工具的使用以及大量的实战项目，这里也分享一份我自己整理的网络安全入门工具以及使用教程和实战。

项目实战

最后就是项目实战，这里带来的是SRC资料&HW资料，毕竟实战是检验真理的唯一标准嘛~

面试题

归根结底，我们的最终目的都是为了就业，所以这份结合了多位朋友的亲身经验打磨的面试题合集你绝对不能错过！

网上学习资料一大堆，但如果学到的知识不成体系，遇到问题时只是浅尝辄止，不再深入研究，那么很难做到真正的技术提升。

需要这份系统化资料的朋友，可以点击这里获取

一个人可以走的很快，但一群人才能走的更远！不论你是正从事IT行业的老鸟或是对IT行业感兴趣的新人，都欢迎加入我们的的圈子（技术交流、学习资源、职场吐槽、大厂内推、面试辅导），让我们一起学习成长！

public class CustomRealm extends AuthorizingRealm {

/**

 * 授权

 * @param principals

 * @return

 */

@Override

protected AuthorizationInfo doGetAuthorizationInfo(PrincipalCollection principals) {

    return null;

}



/**

 * 认证

 * @param token

 * @return

 * @throws AuthenticationException

 */

@Override

protected AuthenticationInfo doGetAuthenticationInfo(AuthenticationToken token) throws AuthenticationException {

    //获取用户名

    String loginName = (String) token.getPrincipal();

    SecurityServiceImpl securityService = new SecurityServiceImpl();

    String password = securityService.findPassWordByLoginName(loginName);

    if ("".equals(password) || password == null){

        throw new UnknownAccountException("账户不存在");

    }

    return new SimpleAuthenticationInfo(loginName,password,this.getName());

}

}

##声明自定义的Relam

customRealm=com.pdx.shiro.realm.CustomRealm

securityManager.realms=$customRealm

> 编写测试类 🎏🎏

@Test

public void shiroLogin(){

    //导入权限的ini文件构建权限工厂

    Factory<SecurityManager> factory = new IniSecurityManagerFactory("classpath:shiro.ini");

    //工厂构建安全管理器

    SecurityManager instance = factory.getInstance();

    //使用SecurityUtils工具获取主体

    SecurityUtils.setSecurityManager(instance);

    Subject subject = SecurityUtils.getSubject();

    //构建账号

    UsernamePasswordToken token = new UsernamePasswordToken("jay", "123");

    //登陆操作

    subject.login(token);

    System.out.println("是否登陆成功："+subject.isAuthenticated());

}

> 测试结果⌛️⌛️



![在这里插入图片描述](https://img-blog.csdnimg.cn/fec842abfa9746cb9bee42257c616842.png)



**虽然代码运行成功，同样也返回了预期的结果，但是它的过程是如何实现的呢？**



#### []( )源码追踪阶段（开启疯狂Debug模式）🔎🔎



【1】通过`debug`模式去进入`subject.login(token)`下的默认实现类中发现， 正如认证流程图中显示的一样，`subject`将用户的用户名密码委托给了`SecurityManager`去做。**接着往下看**🔎  

![在这里插入图片描述](https://img-blog.csdnimg.cn/9b3237f4816e4aa88add30b914fb92ff.png?x-oss-process=image/watermark,type_d3F5LXplbmhlaQ,shadow_50,text_Q1NETiBA5rS-IOWkpyDmmJ8u,size_20,color_FFFFFF,t_70,g_se,x_16)  

【2】通过这个方法的注释可以看出`SecurityManager`又将用户的`token`委托给内部认证组件`Authenticator`去做。**接着往下看**🔎  

![在这里插入图片描述](https://img-blog.csdnimg.cn/2c25da097d4e400bb82654b7072e30ad.png?x-oss-process=image/watermark,type_d3F5LXplbmhlaQ,shadow_50,text_Q1NETiBA5rS-IOWkpyDmmJ8u,size_20,color_FFFFFF,t_70,g_se,x_16)  

【3】通过源码可以发现，其实`SecurityManager`的内部组件都是相互推脱，认证组件`Authenticator`又将传来的用户的`token`交给`Realm`去作比较。**接着往下看**🔎  

![在这里插入图片描述](https://img-blog.csdnimg.cn/2bfaea6566314855bb5b26849de38607.png?x-oss-process=image/watermark,type_d3F5LXplbmhlaQ,shadow_50,text_Q1NETiBA5rS-IOWkpyDmmJ8u,size_20,color_FFFFFF,t_70,g_se,x_16)  

![在这里插入图片描述](https://img-blog.csdnimg.cn/a6a5ec71cb3f4b4c80e361e0707db06c.png?x-oss-process=image/watermark,type_d3F5LXplbmhlaQ,shadow_50,text_Q1NETiBA5rS-IOWkpyDmmJ8u,size_20,color_FFFFFF,t_70,g_se,x_16)  

【4】从图中可以看出，当前对象是`Realm`类对象，而即将调用的方法就是第二个红色框框中的`doGetAuthenticationInfo(token)`方法。当我看到这个方法的时候，总有一种似曾相识的感觉，疯狂思考，是不是在哪里见过呀，突然灵机乍现！！！猛拍大腿！这不就是我们在自定义`Realm`中要重写的那个方法嘛！！！如果账号密码通过了，那么返回一个认证成功的`info`凭证，如果认证失败，则抛出异常。**接着往下看**🔎  

![在这里插入图片描述](https://img-blog.csdnimg.cn/649d17903b0a476383104793ae8f2277.png?x-oss-process=image/watermark,type_d3F5LXplbmhlaQ,shadow_50,text_Q1NETiBA5rS-IOWkpyDmmJ8u,size_20,color_FFFFFF,t_70,g_se,x_16)  

【5】接下来，就看到我自定义的`Realm`类了，此类继承了`AuthorizingRealm`，并实现了里面的`doGetAuthenticationInfo()`方法，在这个方法里就可以进行一系列数据库的操作，并将查询到的数据库中存放的用户名和密码封装成一个`AuthenticationInfo`对象返回。**接着往下看**🔎  


## 学习路线：

这个方向初期比较容易入门一些，掌握一些基本技术，拿起各种现成的工具就可以开黑了。不过，要想从脚本小子变成黑客大神，这个方向越往后，需要学习和掌握的东西就会越来越多以下是网络渗透需要学习的内容：  
 ![在这里插入图片描述](https://img-blog.csdnimg.cn/7a04c5d629f1415a9e35662316578e07.png#pic_center)





**网上学习资料一大堆，但如果学到的知识不成体系，遇到问题时只是浅尝辄止，不再深入研究，那么很难做到真正的技术提升。**

**[需要这份系统化资料的朋友，可以点击这里获取](https://bbs.csdn.net/topics/618540462)**

**一个人可以走的很快，但一群人才能走的更远！不论你是正从事IT行业的老鸟或是对IT行业感兴趣的新人，都欢迎加入我们的的圈子（技术交流、学习资源、职场吐槽、大厂内推、面试辅导），让我们一起学习成长！**