Springboot基础学习之(十七):通过Shiro实现用户得到登录认证和授权

前几篇文章讲解了关于信息安全的另一框架Spring security ，今天趁热打铁基础的了解以下shiro这一框架。

什么是shiro？

Shiro是一个强大且易用的Java安全框架,执行身份验证、授权、密码和会话管理。使用Shiro的易于理解的API,您可以快速、轻松地获得任何应用程序,从最小的移动应用程序到最大的网络和企业应用程序。

关于shiro框架的几个关键组件

1、Subject
即“当前操作用户”。但是，在 Shiro 中，Subject 这一概念并不仅仅指人，也可以是第三方进程、后台帐户（Daemon Account）或其他类似事物。它仅仅意味着“当前跟软件交互的东西”。Subject 代表了当前用户的安全操作，SecurityManager 则管理所有用户的安全操作。

2、SecurityManager
它是Shiro 框架的核心，典型的 Facade 模式，Shiro 通过 SecurityManager 来管理内部组件实例，并通过它来提供安全管理的各种服务。

3、Realm
Realm 充当了 Shiro 与应用安全数据间的“桥梁”或者“连接器”。也就是说，当对用户执行认证（登录）和授权（访问控制）验证时，Shiro 会从应用配置的 Realm 中查找用户及其权限信息。从这个意义上讲，Realm 实质上是一个安全相关的 DAO：它封装了数据源的连接细节，并在需要时将相关数据提供给 Shiro。当配置 Shiro 时，你必须至少指定一个 Realm，用于认证和（或）授权。配置多个 Realm 是可以的，但是至少需要一个。Shiro 内置了可以连接大量安全数据源（又名目录）的 Realm，如 LDAP、关系数据库（JDBC）、类似 INI 的文本配置资源以及属性文件等。如果缺省的 Realm 不能满足需求，你还可以插入代表自定义数据源的自己的 Realm 实现。
 

一张图总结关于shiro框架的实现流程

 流程：

1：用户登录，UsernamePasswordToken 这个类会将用户登录信息封装起来，生成Token（令牌）

2：subject会把生成的令牌交给securityManager(安全管理器）

3：安全管理器会把Token交给认证器

4：认证器会将Token分解开来，分成账号和密码，并通过Relam这个桥梁向数据库进行求证

5：数据库会将用户信息封装成info对象，与认证器获取的账户和密码进行认证

6：认证通过，则允许此用户继续下一个操作，认证失败，则返回到登录界面重新进行登录。

案例：通过shiro框架实现用户的认证

一：环境搭建

创建一个新的spring boot项目，并导入下面依赖

<?xml version="1.0" encoding="UTF-8"?>
<project xmlns="http://maven.apache.org/POM/4.0.0" xmlns:xsi="http://