shiro笔记一：权限控制

最新推荐文章于 2022-11-28 10:05:02 发布

￥诸葛村夫￥

最新推荐文章于 2022-11-28 10:05:02 发布

阅读量293

点赞数

分类专栏：【springBoot+shiro】文章标签： springBoot shiro

本文链接：https://blog.csdn.net/qq_33322074/article/details/106033582

版权

【springBoot+shiro】专栏收录该内容

8 篇文章 3 订阅

订阅专栏

shiro笔记一：权限控制

权限控制

权限：用户和资源，让指定的用户，只能操作指定的资源。

javaweb通过doFilter过滤进行处理权限控制。

public void doFilter(ServletRequest request, ServletResponse response, FilterChain chain) throws Exception {
    HttpServletRequest httpRequest = (HttpServletRequest) request;
    HttpServletResponse httpResponse = (HttpServletResponse) response;
    HttpSession session = httpRequest.getSession();
    if (session.getAttribute("username") != null) {
        chain.doFilter(request, response);//如果存在，就继续该请求。
    } else {//否则就进入login.jsp
        httpResponse.sendRedirect(httpRequest.getContextPath() + "/login.jsp");
    }
}

权限框架设计之ACL和RBAC

ACL：Access Control List访问控制列表

以前盛行的一种权限设计，它的核心在于用户直接和权限挂钩。
优点：简单易用，开发便捷。
缺点：用户和权限直接挂钩，导致在授予时的复杂性，比较分散，不便于管理。
例子：常见的文件系统权限设计，直接给用户加权限。

RBAC:Role Based Access Control

基于角色的访问控制系统，权限与角色相关联，用户通过成为适当的角色的成员而得到这些角色的权限。
优点：简化了用户与权限的管理，通过对用户进行分类，使得角色与权限关联起来。
缺点：开发对比ACL相对复杂。
例子：基于RBAC模型的权限验证框架与应用Appache shiro,Spring Security

总结：不能过于复杂，规则过多，维护性和性能下降，更多分类ABAC,PBAC等。

当前主流权限框架

spring Security:

Spring Security是一个能够为基于Spring的企业应用系统提供声明式的安全访问控制解决方案的安全框架。它提供了一组可以在Spring应用上下文中配置的Bean，充分利用了Spring IoC，DI（控制反转Inversion of Control ,DI:Dependency Injection 依赖注入）和AOP（面向切面编程）功能，为应用系统提供声明式的安全访问控制功能，减少了为企业系统安全控制编写大量重复代码的工作。

一句话：Spring Security 的前身是 Acegi Security ，是 Spring 项目组中用来提供安全认证服务的框架

Apache Shiro:

Apache Shiro是一个强大且易用的Java安全框架,执行身份验证、授权、密码和会话管理。使用Shiro的易于理解的API,您可以快速、轻松地获得任何应用程序,从最小的移动应用程序到最大的网络和企业应用程序。

一句话：Shiro是一个强大易用的Java安全框架,提供了认证、授权、加密和会话管理等功能

总结

Apache Shiro比Spring Security , 前者使用更简单

Shiro 功能强大、简单、灵活，不跟任何的框架或者容器绑定，可以独立运行

Spring Security 对Spring 体系支持比较好，脱离Spring体系则很难开发

SpringSecutiry 支持Oauth鉴权 https://spring.io/projects/spring-security-oauth，Shiro需要自己实现