Shiro框架

最新推荐文章于 2024-06-18 10:17:47 发布
最新推荐文章于 2024-06-18 10:17:47 发布
阅读量147 收藏 1
点赞数
文章标签： shiro
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/qq_41128049/article/details/114031863
版权

Apache Shiro框架

博客原文：链接

一、什么是Apache Shiro?

​ Apache Shiro是Java的一个安全框架。功能强大，使用简单的Java安全框架，它为开发人员提供一个直观而全面的认证，授权，加密及会话管理的解决方案。

​ 实际上，Shiro的主要功能是管理应用程序中与安全相关的全部，同时尽可能支持多种实现方法。Shiro是建立在完善的接口驱动设计和面向对象原则之上的，支持各种自定义行为。Shiro提供的默认实现，使其能完成与其他安全框架同样的功能，这不也是我们一直努力想要得到的吗！

​ Apache Shiro相当简单，对比Spring Security，可能没有Spring Security做的功能强大，但是在实际工作时可能并不需要那么复杂的东西，所以使用小而简单的Shiro就足够了。对于它俩到底哪个好，这个不必纠结，能更简单的解决项目问题就好了。

二、Shiro可以操作什么
  • 验证用户身份以验证其身份
  • 对用户执行访问控制，例如：
    • 确定是否为用户分配了特定的安全角色
    • 确定是否允许用户做某事
  • 即使在没有Web或EJB容器的情况下，也可以在任何环境中使用Session API。
  • 在身份验证，访问控制或会话的生存期内对事件做出反应。
  • 汇总1个或更多用户安全数据的数据源，并将其全部显示为单个复合用户“视图”。
  • 启用单点登录（SSO）功能
  • 启用“记住我”服务以进行用户关联，而无需登录
  • Shiro尝试在所有应用程序环境中实现这些目标-从最简单的命令行应用程序到最大的企业应用程序，而不必强加对其他第三方框架，容器或应用程序服务器的依赖
三、Apache Shiro功能

​ Apache Shiro是具有许多功能的全面的应用程序安全框架，组织方式如下：

​在这里插入图片描述

Shiro以Shiro开发团队所谓的**“应用程序安全性的四个基石”**为目标-身份验证，授权，会话管理和密码术：

  • **身份验证(Authentication)：**有时称为“登录”，这是证明用户是他们所说的身份的行为。
  • **授权(Authorization)：**访问控制的过程，即确定“谁”有权访问“什么”。
  • **会话管理(SessionManagement)：**即使在非Web或EJB应用程序中，也管理用户特定的会话。
  • **密码术(Cryptography)：**使用密码算法保持数据安全，同时仍易于使用。

在不同的应用程序环境中，还具有其他功能来支持和加强这些问题，尤其是：

  • **Web支持：**Shiro的Web支持API可帮助轻松保护Web应用程序。
  • **缓存：**缓存是Apache Shiro API的第一层公民，可确保安全操作保持快速有效。
  • **并发性：**Apache Shiro的并发功能支持多线程应用程序。
  • **测试：**测试支持可以帮助您编写单元测试和集成测试，并确保您的代码将按预期进行保护。
  • **“运行方式”：**一种功能，允许用户采用其他用户的身份（如果允许），有时在管理方案中很有用。
  • **“记住我”：**在整个会话中记住用户的身份，因此他们仅在必要时登录。
四、Shiro的架构

​ Shiro的架构主要有三个顶级概念Subject, SecurityManager和Realms。图中展示了这些组件间的交互，接下来详细介绍：

[外链图片转存失败,源站可能有防盗链机制,建议将图片保存下来直接上传(img-4qVuJghB-1614160535152)(D:\hsq\img\ShiroBasicArchitecture.png)]

  • Subject： 正如我们在教程里提到的, Subject实际上是安全领域里的“当前执行用户”。“User”通常意指人类，而Subject 却可以是一个人，或者是第三方服务，守护进程帐户，定时任务等等——可以是基本上任何正与软件交互的事物。

    Subject的实例都会（也是必须）绑定一个SecurityManager，对Subject的操作会转为Subject与SecurityManager之间的交互。

  • SecurityManager： SecurityManager是Shiro架构的核心，像个“保护伞”一样协调内部组件运作。不过一旦SecurityManager配置完成，它就被放一边去了，通常开发人员只需要使用Subject。

    稍后详细介绍SecurityManager，现在你需要知道的是，当使用Subject进行各种操作时，在背后做苦力活的可是SecurityManager，这一点在上面的图中有所体现。

  • Realms： Realms在Shiro和你的安全数据之间扮演“桥梁”或“连接器”的角色。当需要用到安全数据比如用户帐号来进行认证或授权时，Shiro会从应用配置的一个或多个Realms中来查找。

    这个意义上Realm其实就是安全（操作）特有的DAO：它封装了数据源的细节，并在Shiro需要时提供相关数据。配置Shiro时，必须至少得有一个Realm以用于认证（和/或）授权。在SecurityManager中可以配置Realm，至少得有一个。

    Shiro自带一些开箱即用的Realms用于连接像是LDAP，关系数据库（JDBC），文本配置源（比如INI）以及属性文件等等这样的安全数据来源。如果默认的不能满足你的需要，你也可以自己实现一个Realm。

    同其他内部组件一样，Realms由SecurityManager管理着如何获取数据并传给Subject的实例。

Shiro的核心架构

[外链图片转存失败,源站可能有防盗链机制,建议将图片保存下来直接上传(img-8Ije8baP-1614160535156)(D:\hsq\img\ShiroArchitecture.png)]

**Subject：**主体，既可以代表用户，也可以代表程序（网络爬虫等），它需要访问系统，系统则需要对其进行认证和授权，可以看到主体可以是任何可以与应用交互的“用户”。

​ SecurityManager： 安全管理，用户请求Url，对应于一个Subject对象，由SecurityManager统一对Subject进行认证和授权（父）。

​ Authenricator： 认证器，主要对Subject进行认证，Subject的信息在shrio中是通过AuthenticationToken对象来储存，由AuthenricationStrategy进行验证管理．（子）。如果用户觉得Shiro默认的不好，可以自定义实现；其需要认证策略（Authentication Strategy），即什么情况下算用户认证通过了；

**Authorizer：**授权器，Subject认证后，由它来对其授予对应角色权限．（子）即控制着用户能访问应用中的哪些功能；

SessionManager： Shiro的session管理方式，Shiro提供了一个专门管理session的方式，通常的web程序中的session是HttpSession的对象，是由web容器来管理的．如果写过Servlet就应该知道Session的概念，Session呢需要有人去管理它的生命周期，这个组件就是SessionManager；而Shiro并不仅仅可以用在Web环境，也可以用在如普通的JavaSE环境、EJB等环境；所有呢，Shiro就抽象了一个自己的Session来管理主体与应用之间交互的数据；这样的话，比如我们在Web环境用，刚开始是一台Web服务器；接着又上了台EJB服务器；这时想把两台服务器的会话数据放到一个地方，这个时候就可以实现自己的分布式会话（如把数据放到Memcached服务器）；

SessionDao： session的接口，Shiro通过它来管理session数据，个性化的session数据储存需要使用sessionDao.

CacheManager： 缓存控制器，主要对session数据和授权数据进行缓存，减小数据库的访问压力．可以通过和ehcache的整合对缓存数据进行管理．

Pluggable Realms： 可扩展领域，相当于数据源，我们通过上面内容可以大致了解到Shiro的工作原理，但Shiro是怎样得知Subject的信息和数据库的信息是否匹配呢？Shiro这里就提供了一个realms的概念，它的作用就是得到数据库中的信息．这个realm是可以多个并且可以自定义，只需继承AuthorizingRealm这个接口就可以了．可以有1个或多个Realm，可以认为是安全实体数据源，即用于获取安全实体的；可以是JDBC实现，也可以是LDAP实现，或者内存实现等等，由用户提供，Shiro不知道你的用户/权限存储在哪及以何种格式存储，所以我们一般在应用中都需要实现自己的Realm密码模块

注意：对Subject进行认证和授权都需要调用realm，所以realm不仅仅相当于数据源，更加包含了认证和授权的一种逻辑．

Cryptography： 密码模块，一个密码管理工具，提供了一套加密／解密的组件．比如常用的散列，加／解密等功能，日常练习所使用的md5算法其实是一种散列算法，只能加密，不能解密．

Shiro处理认证流程图

在这里插入图片描述

可见，Shiro处理流程是一级一级的调用，主要是调用Authentication来进行验证，最后还是需要使用realm来进行身份验证。

五、过滤器权限拦截器
过滤器简称对应的java类
anonorg.apache.shiro.web.filter.authc.AnonymousFilter
authcorg.apache.shiro.web.filter.authc.FormAuthenticationFilter
authcBasicorg.apache.shiro.web.filter.authc.BasicHttpAuthenticationFilter
permsorg.apache.shiro.web.filter.authz.PermissionsAuthorizationFilter
portorg.apache.shiro.web.filter.authz.PortFilter
restorg.apache.shiro.web.filter.authz.HttpMethodPermissionFilter
rolesorg.apache.shiro.web.filter.authz.RolesAuthorizationFilter
sslorg.apache.shiro.web.filter.authz.SslFilter
userorg.apache.shiro.web.filter.authc.UserFilter
logoutorg.apache.shiro.web.filter.authc.LogoutFilter
六、JSP shiro标签

在这里插入图片描述

权限基础
ITeye论坛关于权限控制的讨论
RBAC新解

其他相关文章
Shiro官方文档
Shiro官方推荐资料
Shiro参考手册中文版
简单shiro扩展实现NOT、AND、OR权限验证
集成Shiro后当遇到404错误时会丢失session
在velocity 模板文件中，实现 shiro 权限验证

七、Shiro

使用Shiro框架分析的流程图：

[外链图片转存失败,源站可能有防盗链机制,建议将图片保存下来直接上传(img-yhyT3Cel-1614160535162)(D:\hsq\img\shiro流程分析图.jpg)]

配置用户名和密码的注意

用户名保证唯一性：验证用户名是否唯一和是否占用

密码入库要用暗文

package microservice.fpzj.core.util;

import org.apache.shiro.crypto.hash.SimpleHash;
import org.apache.shiro.util.ByteSource;

public class PasswordUtil {
    private String algorithmName = "md5";   //指定散列算法为MD5,还有别的算法如：SHA256、SHA1、SHA512
    private int hashIterations = 2;     //散列迭代次数 md5(md5(pwd)): new Md5Hash(pwd, salt, 2).toString()
    public void setAlgorithmName(String algorithmName) {
        this.algorithmName = algorithmName;
    }
    public void setHashIterations(int hashIterations) {
        this.hashIterations = hashIterations;
    }
    //加密：输入明文得到密文
    public String encodePassword(String pwd, String salt) {
        //user.setSalt(randomNumberGenerator.nextBytes().toHex());
        String newPassword = new SimpleHash(
                algorithmName,
                pwd,
                ByteSource.Util.bytes(salt),
                hashIterations).toHex();

        return newPassword;
    } 
    public boolean verifyPassword(String targetPassword, String pwd, String salt){
         String newPassword = this.encodePassword(targetPassword, salt);
         if(newPassword.equals(pwd)){
             return true;
         }else{
             return false;
         }
    }

}

案例：ssm+shiro

博客文章：https://www.cnblogs.com/kitor/p/11281629.html

springboot+shiro

博客文章：https://blog.csdn.net/wohaqiyi/article/details/79338439

ssm整合shiro单点登录： https://blog.csdn.net/m0_37797991/article/details/78529096

springBoot整合shiro单点登录：https://blog.csdn.net/liuchuanhong1/article/details/76850181

胡萝卜★
关注
  • 0
    点赞
  • 踩
  • 1
    收藏
    觉得还不错? 一键收藏
  • 2
    评论
shiro 框架
weixin_60269711的博客
04-23 1135
1. 什么是shiro shiro是apache的一个开源框架，是一个权限管理的框架，实现 用户认证、用户授权。 轻量级框架 2.介绍 1,Subject：主体，代表了当前“用户”，这个用户不一定是一个具体的人，与当前应用交互的任何东西都是Subject，如网络爬虫，机器人等；即一个抽象概念；所有Subject 都绑定到SecurityManager，与Subject的所有交互都会委托给SecurityManager；可以把Subject认为是一个门面；SecurityMan...
springMVC整合shiro框架
02-12
SpringMVC 和 Shiro 框架的整合是企业级Web开发中常见的一种安全控制解决方案。SpringMVC 是一个强大的MVC（Model-View-Controller）框架，负责处理请求、展示视图以及业务逻辑；而 Apache Shiro 则是一个轻量级的...
shiro框架
Mr_Jin的博客
05-30 4235
1.shiro简介 1.1.基本功能点 Shiro 可以非常容易的开发出足够好的应用，其不仅可以用在JavaSE环境，也可以用在 JavaEE 环境。Shiro 可以帮助我们完成：认证、授权、加密、会话管理、与 Web 集成、缓存等。 · Authentication：身份认证 / 登录，验证用户是不是拥有相应的身份；· Authorization：授权，即权限验证，验证某个已认证的用户是否拥有某个权限；即判断用户是否能做事情，常见的如：验证某个用户是否拥有某个角色。或者细粒度的验证某个用户对..
Shiro框架总结
cxmengxin的博客
07-08 1089
Shiro框架总结 一、Shrio框架 1、Shiro介绍 （1）RBAC Shiro是一款基于资源的访问控制框架即RBAC(Resource-Based Access Control)，其将安全认证等相关功能全部提取出来抽象成了一个框架，使用Shiro能够轻松方便的完成认证、授权、加密等功能的开发。 （2）角色（roles）与权限（Permission） 角色与权限是Shiro认证授权的核心概念。在用户登录时，Shiro对用户进行认证，并授予其相应的角色，而角色也有其对应的权限，根据角色所具有的权限从而可
springboot集成shiros自定义md5加密自定义token认证
a360284634的博客
06-18 829
spring boot 集成 shiro，shiro介绍，shiro与springSecurity区别，shiro优缺点
Shiro 框架详解
兴趣是最好的老师，勤能补拙
05-11 3746
Shiro 是一个开源的 Java 安全框架，由 Apache 开发和维护。Shiro 可以帮助开发人员快速实现安全特性，包括身份认证、授权、加密和会话管理等。Shiro 的目标是简化 Java 安全编程，并提供更好的开发体验。易于学习和使用：Shiro 设计简单，易于学习和使用。灵活性高：Shiro 可以适用于任何应用场景，支持多种应用程序类型。安全性高：Shiro 的安全性能比较优越，提供了多种方式来保护应用程序的安全性。
Shiro框架详解
m0_67402564的博客
04-07 3030
1.Shiro框架详解 一、Shiro能干什么 Apache Shiro是一个强大易用的Java安全框架，提供了认证、授权、加密和会话管理等功能： 认证 - 用户身份识别，常被称为用户“登录”； 授权 - 访问控制； 密码加密 - 保护或隐藏数据防止被偷窥； 会话管理 - 每用户相关的时间敏感的状态。 对于任何一个应用程序，Shiro都可以提供全面的安全管理服务。并且相对于其他安全框架，Shiro要简单的多。 二、Shiro的架构介绍 首先，来了解一下Shiro的三个核心组件：Subject, Secu
Shiro框架-史上详解
热门推荐
kentlhxy的博客
05-12 4万+
Shiro   1.权限管理概述 2.Shiro权限框架   2.1 概念   2.2 Apache Shiro 与Spring Security区别 3.Shiro认证   3.1 基于ini认证   3.2 自定义Realm --认证 4.Shiro授权   4.1 基于ini授权   4.2 自定义realm – 授权 5.项目集成shiro 认证-授权注意点   5.1 认证   5.2 授权   5.3 注解@RequiresPermissions()   5.4 标签式权限验证 6.S
SpringBoot整合Shiro框架
koko创作
11-07 8005
目录 1、Shiro简介 1.1、Shiro是什么？ 1.2、有哪些功能？ 1.3、Shiro架构（外部） 2、快速入门（QuickStartShiro） 2.1、项目结构 2.2、导入shiro依赖，这是我的pom所有依赖。（pom.xml） 2.3、相关配置文件 （1）log4j.properties——官网 （2）shiro.ini——官网 （3）启动类 Quickstart——官网 3、SpringBoot集成Shiro框架 3.1SpringBoot整合Shir...
Shiro框架认证流程
weixin_43808717的博客
10-06 771
1、Shiro框架介绍 Shiro 是一个功能强大和易于使用的安全框架，为开发人员提供一个直观而全面的解决方案的认证，授权，加密，会话管理四大功能！ Subject：主体，subject记录了当前操作用户，将当前登录访问的用户信息存在其中。 Authenticator：身份认证/登录，验证用户账号密码是否正确。 Authorizer：授权，根据不同的用户发放不同的权限。 SessionManager：会话管理，它不依赖web容器的session，因此Shiro也可以使用在非web应用上
Shiro框架详解.pptx
01-20
Shiro 框架详解 Shiro 框架是一种基于 Java 的开源安全框架，主要用来实现身份验证、授权和会话管理等功能。本文将对 Shiro 框架进行详细的介绍，包括 Shiro 框架的基本概念、环境搭建、身份验证功能实现、资源权限...
Apache Shiro 框架简介
09-15
以下是对Shiro框架更详细的解析： 一、Shiro的主要功能 1. 认证（Authentication）：Shiro提供了验证用户身份的能力，即确认用户是谁。这通常涉及到用户提交凭证，如用户名和密码，然后Shiro与存储的凭证进行比较，...
java集成shiro框架shiro.rar
09-13
java集成shiro框架，全jar 包，java集成shiro框架java集成shiro框架java集成shiro框架java集成shiro框架java集成shiro框架java集成shiro框架java集成shiro框架java集成shiro框架
pi_heif-0.17.0-cp39-cp39-manylinux_2_31_armv7l.whl
最新发布
07-27
pip install 直接安装，无需再下载，直接用。pip install 直接安装，无需再下载，直接用。pip install 直接安装，无需再下载，直接用。pip install 直接安装，无需再下载，直接用。pip install 直接安装，无需再下载，直接用。pip install 直接安装，无需再下载，直接用。pip install 直接安装，无需再下载，直接用。pip install 直接安装，无需再下载，直接用。pip install 直接安装，无需再下载，直接用。pip install 直接安装，无需再下载，直接用。pip install 直接安装，无需再下载，直接用。pip install 直接安装，无需再下载，直接用。pip install 直接安装，无需再下载，直接用。pip install 直接安装，无需再下载，直接用。pip install 直接安装，无需再下载，直接用。pip install 直接安装，无需再下载，直接用。pip install 直接安装，无需再下载，直接用。pip install 直接安装，无需再下载，直接用。pip install 直接安装，无需再下载，直接用。pip install 直接安装，无需再下载，直接用。pip install 直接安装，无需再下载，直接用。pip install 直接安装，无需再下载，直接用。pip install 直接安装，无需再下载，直接用。pip install 直接安装，无需再下载，直接用。pip install 直接安装，无需再下载，直接用。pip install 直接安装，无需再下载，直接用。
ubuntu20.04-ssh9.8p1-ssl3.0.14-focal-deb-amd64升级加固脚本.zip
07-27
若有新版本请查看文章最后附件地址：https://blog.csdn.net/liuxin638507/article/details/132450367 特点： 1、同时升级openssh与openssl，采用deb包形式，一键快速升级版本，无需每台单独再次进行编译， 2、隐藏openssh-版本号(openssh9.8p1及之后隐藏版本号还未找到方法) 3、已默认安全加固（已有配置跳过） 安装： 执行 bash upgrade_ssl_ssh_ubuntu.sh 进行安装 注意，升级安装后，确保sshd服务正常，请新开终端进行验证测试 验证 openssl版本： openssl version OpenSSL 3.0.14 4 Jun 2024 (Library: OpenSSL 3.0.14 4 Jun 2024) openssh版本： ssh -V OpenSSH_9.8p1, OpenSSL 3.0.14 4 Jun 2024
avif-0.5.0-cp36-cp36m-manylinux1_i686.whl
07-27
python库，可以直接安装使用，再也不怕自己pip下载，出现等待超时的现象。欢迎下载使用，使用过程中如有使用问题，请及时与我沟通交流，帮你解决！ python库，可以直接安装使用，再也不怕自己pip下载，出现等待超时的现象。欢迎下载使用，使用过程中如有使用问题，请及时与我沟通交流，帮你解决！ python库，可以直接安装使用，再也不怕自己pip下载，出现等待超时的现象。欢迎下载使用，使用过程中如有使用问题，请及时与我沟通交流，帮你解决！ python库，可以直接安装使用，再也不怕自己pip下载，出现等待超时的现象。欢迎下载使用，使用过程中如有使用问题，请及时与我沟通交流，帮你解决！ python库，可以直接安装使用，再也不怕自己pip下载，出现等待超时的现象。欢迎下载使用，使用过程中如有使用问题，请及时与我沟通交流，帮你解决！
教务管理系统-毕业设计.zip
07-27
教务管理系统-毕业设计.zip
pillow_jxl_plugin-1.2.5-cp39-none-win_amd64.whl
07-27
基本介绍 名称与起源：Pillow，原名为PIL（Python Imaging Library），但PIL只支持Python 2版本。随着Python 3的普及，Pillow作为PIL的一个分支出现，兼容Python 3并提供更多的功能和改进。 主要功能：Pillow支持多种图像格式的打开、保存、显示以及基本的图像操作和处理，如裁剪、缩放、旋转、翻转、滤镜应用等。 跨平台性：Pillow库可以在不同的操作系统上运行，包括Windows、Linux和MacOS等。 主要功能模块 Pillow库包含多个功能模块，每个模块都提供了特定的图像处理功能。以下是一些常用的模块： Image：用于处理图像文件，提供打开、保存、调整大小、旋转、裁剪、滤镜等功能。 ImageDraw：提供在图像上绘制各种形状（如线条、矩形、圆形）和文本的功能。 ImageFont：用于加载和使用TrueType字体文件，以便在图像上绘制文本时设置字体样式、大小和颜色。 ImageFilter：提供各种滤镜效果，如模糊、锐化、边缘增强等，用于图像增强、特效处理和图像识别等应用。 ImageEnhance：用于调整图像的亮度、对比度、颜色饱和度等参数，使图像更加清晰、明亮或具有特定的调色效果。 高级功能 除了基本的图像处理功能外，Pillow还支持一些高级功能，如色彩空间转换、直方图均衡化等。这些功能可以帮助用户进行更复杂的图像处理和分析。
Shiro框架的认证与授权详解
在软件开发中，权限管理和认证是至关重要的环节，Apache Shiro框架提供了一种简洁而强大的解决方案。本文将深入探讨Shiro框架中的核心组件以及认证过程，帮助理解如何实现用户权限的分配与授权。 首先，Shiro框架的...
评论 2
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值