深入浅出学Shiro（一）--登录认证

ApacheShiro是一个强大易用的Java安全框架，提供了认证、授权、加密和会话管理等功能：

 

Shiro为解决下列问题，提供了保护应用的API：

　　认证 - 用户身份识别，常被称为用户“登录”；

　　授权 - 访问控制；

　　密码加密 - 保护或隐藏数据防止被偷窥；

　　会话管理 - 每用户相关的时间敏感的状态。

 

对于任何一个应用程序，Shiro都可以提供全面的安全管理服务。并且相对于其他安全框架，Shiro要简单的多。

 

核心概念：Subject，SecurityManager和Realms

Subject

 

　　

     “当前操作用户”。但是，在Shiro中，Subject这一概念并不仅仅指人，也可以是第三方进程、后台帐户（DaemonAccount）或其他类似事物。它仅仅意味着“当前跟软件交互的东西”。但考虑到大多数目的和用途，你可以把它认为是Shiro的“用户”概念。

Subject代表了当前用户的安全操作，SecurityManager则管理所有用户的安全操作。

 

SecurityManager

 

　　它是Shiro框架的核心，典型的Facade模式，Shiro通过SecurityManager来管理内部组件实例，并通过它来提供安全管理的各种服务。

 

Realms

 

　  Realm充当了Shiro与应用安全数据间的“桥梁”或者“连接器”。也就是说，当切实与像用户帐户这类安全相关数据进行交互，执行认证(登录)和授权(访问控制)时，Shiro会从应用配置的Realm中查找很多内容。

　　从这个意义上讲，Realm实质上是一个安全相关的DAO：它封装了数据源的连接细节，并在需要时将相关数据提供给Shiro