shiro框架讲解

shiro 安全框架讲解

1.1Shiro 概述

Shiro 是 apache 旗下一个开源安全框架，它对软件系统中的安全认证相关功能进行了
抽封装，实现了用户身份认证，权限授权、加密、会话管理等功能，组成了一个通用的安全
认证框架。使用 shiro 就可以非常快速的完成认证、授权等功能的开发，降低系统成本。
用户在进行资源访问时，要求系统要对用户进行权限控制。

1.2Shiro 概要架构

在概念层面，Shiro 架构包含三个主要的理念，
其中：

1. Subject :主体对象，负责提交用户认证和授权信息。
2. SecurityManager：安全管理器，负责认证，授权等业务实现。
3. Realm：领域对象，负责从数据层获取业务数据。

1.3 Shiro 详细架构

Shiro 框架进行权限管理时,要涉及到的一些核心对象,主要包括:认证管理对象,授权
管理对象,会话管理对象,缓存管理对象,加密管理对象以及 Realm 管理对象(领域对象:负
责处理认证和授权领域的数据访问题)等；
其中：

1. Subject（主体）:与软件交互的一个特定的实体（用户、第三方服务等）。
2. SecurityManager(安全管理器) :Shiro 的核心，用来协调管理组件工作。
3. Authenticator(认证管理器):负责执行认证操作。
4. Authorizer(授权管理器):负责授权检测。
5. SessionManager(会话管理):负责创建并管理用户 Session 生命周期，提供一
   个强有力的 Session 体验。
6. SessionDAO:代表 SessionManager 执行 Session 持久（CRUD）动作，它允许
   任何存储的数据挂接到 session 管理基础上。
7. CacheManager（缓存管理器）:提供创建缓存实例和管理缓存生命周期的功能。
8. Cryptography(加密管理器):提供了加密方式的设计及管理。
9. Realms(领域对象):是 shiro 和你的应用程序安全数据之间的桥梁。

1.4 认证流程分析

1. 系统调用 subject 的 login 方法将用户信息提交给 SecurityManager
2. SecurityManager 将认证操作委托给认证器对象 Authenticator
3. Authenticator 将用户输入的身份信息传递给 Realm。
4. Realm 访问数据库获取用户信息然后对信息进行封装并返回。
5. Authenticator 对 realm 返回的信息进行身份认证。
   思考：不使用 shiro 框架如何完成认证操作？filter，intercetor。

1.5其中授权流程分析如下：

1. 系 统 调 用 subject 相 关 方 法 将 用 户 信 息 ( 例 如 isPermitted) 递 交 给
   SecurityManager。
2. SecurityManager 将权限检测操作委托给 Authorizer 对象。
3. Authorizer 将用户信息委托给 realm。
4. Realm 访问数据库获取用户权限信息并封装。
5. Authorizer 对用户授权信息进行判定。
   思考：思考不使用 shiro 如何完成授权操作？intercetor，aop。