2、Shiro基础

Apache Shiro是一个强大且易用的Java安全框架,执行身份验证、授权、密码学和会话管理。使用Shiro的易于理解的API,您可以快速、轻松地获得任何应用程序,从最小的移动应用程序到最大的网络和企业应用程序。

Authentication(身份验证):验证用户是否拥有相应的身份

Authorization(授权)：即权限验证，验证某个已认证的用户是否拥有某个权限。例如：验证某个用户是否拥有某个角色，或者细粒度的验证某个用户对某个资源是否具有某个权限。

SessionManager(会话管理)：即用户登录后就是一次会话，在没有退出之前，它的所有信息都在会话中，会话可以是普通的JavaSE环境，也可以是Web环境

Cryptography(加密)：保护数据的安全性，如密码加密存储到数据库。

Web Support(Web支持)：Shiro的Web支持API有助于轻松保护Web应用程序。

Caching(缓存) :用户登录后，用户的信息、拥有的角色、权限不必每次去查，这样可以提高效率

Concurrency:Shiro支持多线程应用的并发验证，例如在一个线程中开启了另一个线程，能把权限自动传播过去。

Run As:允许一个用户假装为另一个用户(如果他们允许)的身份进行访问。

Remember me : 记住我，即一次登录后，下次再来的话不用登录了。

Shiro架构

从外部来看Shiro，即从应用程序的角度来观察使用Shiro完成工作：

Subject:应用代码直接交互的对象是Subject，也就是说Shiro对外的核心API就是Subject。Subject代表了当前用户，这个用户不一定是具体的人，与当前应用交互的任何东西都是Subject，如网络爬虫、机器人等；与Subject的所有交互都委托给SecurityManager;Subject其实是一个门面，SecurityManager才是实际的执行者。

SecurityManager:安全管理器，即所有与安全有关的操作都会与SecurityManager交互，且其管理着所有Subject;可以看出它是Shiro的核心，它负责与Shiro的其他组件进行交互，它相当于SpringMVC中的DispatcherServlet角色。

Realm:Shiro从Realm获取安全数据（如用户、角色、权限），就是说SecurityManager要验证用户身份，那么它需要从Realm获取相应的用户进行比较以确定用户身份是否合法，也需要从Realm得到用户相应的角色/权限进行验证用户是否能进行操作，可以把Realm看成DataSource.

Shiro内部架构

   

Subject：任何可以与应用交互的“用户”

SecurityManager：相当于SpringMVC中的DispatcherServlet，是Shiro的心脏，所有具体的交互都通过SecurityManager进行控制，它
管理着所有Subject、且负责进行认证、授权、会话及缓存的管理。

Authenticator：负责Subject认证，是一个扩展点，可以自定义实现，可以使用认证策略(Authentication Strategy)，即什么情况下算用户
认证通过了。

Authorizer:授权器，即访问控制器，用来决定主体是否有权限进行相应的操作，即控制着用户能访问应用中的哪些功能。

Realm：可以有1个或多个Realm，可以认为是安全实体数据源，即用于获取安全实体的，可以是JDBC实现，也可以是内存实现等等，由用户提供，所以一般在应用中都需要实现自己的Realm。

SessionManager：管理session生命周期的组件，而Shiro并不仅仅可以用在Web环境，也可以用在如普通的JavaSE环境。

CacheManager：缓存控制器，来管理如用户、角色、权限等的缓存，因为这些数据基本上很少改变，放在缓存中后可以提高访问的性能。

Cryptography：密码模块，Shiro提高了一些常见的加密组件用于如密码加密/解密。