Shiro介绍

Shiro是什么？

• Shiro是Apache提供的一个安全框架，Shiro提供了认证、授权、加密和会话管理等功能，对于任何一个应用程序，Shiro 都可以提供全面的安全管理服务。

Shiro使用环境及基本功能介绍

• Shiro 可以非常容易的开发出足够好的应用，其不仅可以用在 JavaSE 环境，也可以用在 JavaEE 环境。Shiro 可以帮助我们完成：认证、授权、加密、会话管理、与 Web 集成、缓存等。

Shiro基础功能及框架图：

简单直观描述这个图：将图片分三层：

• 最上面一层，是Shiro可支持的语言，将Shiro插入到这些语言环境中，通过Subject这个对象即可去调用Shiro。

• 中间一层，是Shiro的架构图。Security Manager管理所有的Shiro的功能，另外Shiro也内置了Cryptography，提供加密解密功能。

• 最下面一层，可以理解为数据层，Shiro支持多种数据源，可以从JDBC，配置文件等获取数据。

详细讲解中间层，Shiro的功能：

• Security Manager：它是Shiro框架的核心，Shiro通过SecurityManager来管理内部组件实例，并通过它来提供安全管理的各种服务;
• Authenticator： 身份认证 / 登录，验证用户是不是拥有相应的身份；
• Authorizer：授权，即权限验证，验证某个已认证的用户是否拥有某个权限；即判断用户是否能做事情，常见的如：验证某个用户是否拥有某个角色。或者细粒度的验证某个用户对某个资源是否具有某个权限；
• Session Manager：会话管理，即用户登录后就是一次会话，在没有退出之前，它的所有信息都在会话中；会话可以是普通 JavaSE 环境的，也可以是如 Web 环境的；
• Realms：Realm充当了Shiro与应用安全数据间的“桥梁”或者“连接器”。也就是说，当对用户执行认证（登录）和授权（访问控制）验证时，Shiro会从应用配置的Realm中查找用户及其权限信息;
• Session DAO：DAO 大家都用过，数据访问对象，用于会话的 CRUD，比如我们想把 Session 保存到数据库，那么可以实现自己的 SessionDAO，通过如 JDBC 写到数据库；比如想把 Session 放到 Memcached 中，可以实现自己的 Memcached SessionDAO；另外 SessionDAO 中可以使用 Cache 进行缓存，以提高性能；
• Cache Manager：缓存控制器，来管理如用户、角色、权限等的缓存的；因为这些数据基本上很少去改变，放到缓存中后可以提高访问的性能；
• Cryptography：密码模块，Shiro 提供了一些常见的加密组件用于如密码加密 / 解密的。

Shiro的特点

• 易于理解的 Java Security API；

• 简单的身份认证（登录），支持多种数据源（LDAP，JDBC，Kerberos，ActiveDirectory 等）；

• 对角色的简单的签权（访问控制），支持细粒度的签权；

• 支持一级缓存，以提升应用程序的性能；

• 内置的基于 POJO 企业会话管理，适用于 Web 以及非 Web 的环境；

• 异构客户端会话访问；

• 非常简单的加密 API；

• 不跟任何的框架或者容器捆绑，可以独立运行。