Shiro --- 入门简介

一、Apache Shiro概述

Apache Shiro是一个强大而灵活的JAVA开源安全框架，它能够干净利落地处理身份认证、授权、加密和会话管理等功能：

Apache Shiro的4大部分 --- 身份验证、授权、会话管理和加密：

• Authentication --- 用户身份验证，简称“登录”
• Authorization --- 授权，给用户分配角色或者权限资源
• Session Management --- 用户session管理器，即用户登录后就是一次会话，在没有退出之前，它的所有信息都在会话中
• Cryptography --- 把JDK中复杂的密码加密方式进行封装，保证数据的安全性

除了以上功能，Apache Shiro还提供了很多其他功能：

• Web Support：主要针对web应用提供一些常用功能。 
• Caching：缓存可以使应用程序运行更有效率。 
• Concurrency：Apache shiro支持多线程应用的并发验证，即如在一个线程中开启另一个线程，能把权限自动传播过去
• Testing：帮助我们进行测试相关功能 
• Run As：允许用户假装为另一个用户（如果允许）的身份进行访问，有时候在管理脚本很有用。 
• Remember Me：记住用户身份，即一次登录后，下载再来的话不用登录。

官网：http://shiro.apache.org/

二、Apache Shiro三大核心组件

Apache Shiro三大核心组件：Subject、SecurityManager、Realms

2.1 Subject

Subject是与程序进行交互的对象，可以是人也可以是服务或者其他，通常就理解为用户。所有Subject实例都必须绑定到一个SecurityManager上。我们与一个Subject交互，运行时会自动转化为与SecurityManager交互的特定Subject的交互。

2.2 SecurityManager

SecurityManager 是 Shiro的核心，初始化时协调各个模块运行。然而，一旦 SecurityManager协调完毕，SecurityManager 会被单独留下，且我们只需要去操作Subject即可，无需操作SecurityManager 。 但是我们得知道，当我们正与一个 Subject 进行交互时，实质上是 SecurityManager在处理 Subject 安全操作。

2.3 Realms

Realms在 Shiro中作为应用程序和安全数据之间的“桥梁”或“连接器”。他获取安全数据来判断subject是否能够登录，subject拥有什么权限。他有点类似DAO。在配置realms时，需要至少一个realm。而且Shiro提供了一些常用的 Realms来连接数据源，如LDAP数据源的JndiLdapRealm，JDBC数据源的JdbcRealm，ini文件数据源的IniRealm，properties文件数据源的PropertiesRealm，等等。我们也可以插入自己的 Realm实现来代表自定义的数据源。 像其他组件一样，Realms也是由SecurityManager控制

三、Apache Shiro架构

3.1 Subject --- org.apache.shiro.subject.Subject

主体，可以看到主体可以是任何可以与应用交互的 “用户”

3.2 SucurityManager --- org.apache.shiro.mgt.SecurityManager

SecurityManager是shiro的核心，协调shiro的各个组件

3.3 Authenticator --- org.apache.shiro.authc.Authenticator

认证器，执行对用户的身份验证（登录）的组件。Authenticator 从一个或多个 Realm 中获得数据以验证用户的身份。 若存在多个realm，则接口 AuthenticationStrategy 会确定什么样算是验证成功

3.4 Authorizer --- org.apache.shiro.authz.Authorizer

授权器，决定subject能拥有什么样角色或者权限

3.5 SessionManager --- org.apache.shiro.session.SessionManager

创建和管理用户session。通过设置这个管理器，shiro可以在任何环境下使用session

3.6 CacheManager --- org.apache.shiro.cache.CacheManager

缓存管理器，可以减少不必要的后台访问。提高应用效率，增加用户体验。

3.7 Cryptography --- org.apache.shiro.crypto.*

密码模块，Shiro 提高了一些常见的加密组件用于如密码加密 / 解密的

3.8 Realm--- org.apache.shiro.realm.Realm

Shiro 通过 Realms 来获取相应的安全数据