一.Shiro简介【Shiro系列教程】

应用程序安全是一个永远也扯不开的话题，发展到现在，出现了很多安全框架，比较著名的有Spring Security、Apache Shiro，从今天开始我们就开始学习Shiro,打开软件安全的大门！
那到底什么是shiro呢？

 

什么是Apache Shiro？

Shiro是一个强大而灵活的开源安全框架，用以处理身份验证、授权、企业会话管理和加密等功能。

Shiro的首要目标是易于使用和理解。安全有时是非常复杂的，甚至是痛苦的，但不必如此。框架应该在可能的情况下掩盖复杂性，并公开一个干净直观的API，简化开发人员使其应用程序安全的工作。

使用Shiro可以做什么？

1. 验证用户身份
2. 应用程序权限控制、访问管理
3. 在任何环境中使用会话API，即使没有Web或EJB容器。
4. 单点登录
5. 密码加密
6. 为用户关联启用“记住我”服务，无需登录
7. ......

 

Shiro试图在所有应用程序环境中实现这些目标--从最简单的命令行应用程序到最大的企业应用程序，而不强制依赖其他第三方框架、容器或应用服务器。当然，这个项目的目标是尽可能地集成到这些环境中，但是它可以在任何环境中被开箱即用。 

 

Apache Shiro特性

Apache Shiro是一个全面的应用程序安全框架，具有许多特性。下图显示了Shiro的主要特性。

Shiro的目标是打造应用程序安全的四个基石【身份验证、授权、会话管理和密码】

• 认证：有时被称为“登录”，这是证明用户是谁的行为。

• 授权：访问控制的过程，即确定“谁”有权访问“什么”。

• 会话管理：管理特定于用户的会话，即使在非web或ejb应用程序中也是如此。

• 密码学：使用加密算法保持数据安全，但仍然易于使用。

在不同的应用程序环境中，还有更多的特性：

• Web支持：Shiro的Web支持API帮助轻松地保护Web应用程序。
• 缓存：确保安全操作保持快速和高效。
• 并发性：支持具有并发特性的多线程应用程序。
• 测试：存在测试支持，以帮助您编写单元测试和集成测试，并确保您的代码按照预期执行。
• “Run as”：允许用户假定另一个用户的身份(如果允许的话)的特性，有时在管理场景中很有用。
• “记住我”：记住用户在会话中的身份，这样他们就只需要在强制的情况下登录。