Shiro简介

1.shiro是什么?

Shiro是Apache下的一个开源项目。shiro属于轻量级框架，相对于SpringSecurity简单的多，也没有SpringSecurity那么复杂。官方架构图如下：

2.Shiro提供了四大功能：

（1）认证
（2）授权
（3）加密
（4）会话管理

3.shiro主要功能

• shiro主要有三大功能模块：

1. Subject：主体，一般指用户。
2. SecurityManager：安全管理器，管理所有Subject，可以配合内部安全组件。(类似于SpringMVC中的DispatcherServlet)
3. Realms：用于进行权限信息的验证，一般需要自己实现。

• 细分功能

4. Authentication：身份认证/登录(账号密码验证)。
5. Authorization：授权，即角色或者权限验证。
6. Session Manager：会话管理，用户登录后的session相关管理。
7. Cryptography：加密，密码加密等。
8. Web Support：Web支持，集成Web环境。
9. Caching：缓存，用户信息、角色、权限等缓存到如redis等缓存中。
10. Concurrency：多线程并发验证，在一个线程中开启另一个线程，可以把权限自动传播过去。
11. Testing：测试支持；
12. Run As：允许一个用户假装为另一个用户（如果他们允许）的身份进行访问。
13. Remember Me：记住我，登录后，下次再来的话不用登录了。

1.1 Subject

Subject 即主题，外部应用与subject进行交互，subject记录了当前操作用户，将用户当前的概念理解为当前操作的主体，可能是一个通过浏览器请求的用户，也可能是一个运行的程序。

Subject在shiro中是一个接口，接口中提供了许多认证授权的相关方法，外部程序通过subject进行认证授权，而subject通过subject通过SecurityManager进行认证授权。

1.2 SecurityManager

SecurityManager即安全管理器，对于所有的subject进行安全管理，它是shiro的核心，负责对所有的subject进行管理，通过SecurityManager可以完成Subject的认证授权等。SecurityManager通过三部分进行完成：

一、Authenticator(进行认证)；二、Authorizer（进行授权）；三、SessionManager进行会话管理。

1.2.1 Authenticator

Authenticator 即认证器，对用户身份进行认证。Authenticator是一个借口shiro提供ModularRealmAuthenticator实现类，通过ModularRealmAuthenticator基本上可以实现大多数需求，也可以自定义拦截器。

1.2.2 Authorizer

Authorizer 即授权器。用户通过认证器认证通过，在访问功能时需要通过授权器判断用户是否有此功能的操作权限。

1.2.3 SessionManager

sessionManager 即会话管理，shiro框架定义了一套会话管理，他不依赖web容器的session，所有shiro可以适用于非web应用上，也可以将分布式应用的会话集中在一点管理，该特性可以使他实现单点登录。

1.2.4 SessionManager中的SessionDAO

essionDAO即会话dao，是对session会话操作的一套接口，比如要将session存储到数据库，可以通过jdbc将会话存储到数据库。

1.3 Realm

Realm 即领域，相当于DataSource数据源，securityManager进行安全认证需要通过Realm获取用户安全数据。比如：如果用户身份数据在数据库那么realm就需要从数据库获取用户身份信息。

注意：不要把realm理解成只是从数据源取数据，在realm中还有认证授权校验的相关的代码。

1.4 CacheManager

CacheManager即缓存管理，将用户权限数据存储在缓存，这样可以提高性能。

1.5 Cryptography

Cryptography 即密码管理，shiro提供了一套加密、解密的组件，方便开发。比如提供常用的散列、加/解密等功能。