【shiro进阶】--- shiro架构

  Apache Shiro是很流行的一个java安全框架，可以帮助我们完成认证、授权、加密、会话管理、与web继承、缓存

等操作。虽然没有Spring Security的功能那么强大，但是在实际工作中很多时候使用小而简单的shiro就足够了。

 在开始学习shiro之前，我们先从宏观上介绍一下shiro的架构，让大家对shiro有个整体印象。

 对于一个好的框架，要满足对外能够提供简单易用的API，对内应该有一个可扩展的架构。任何框架都不能满足所

有需求，所以对内要可以非常容易插入用户自定义实现。那么我们就分别从外部和内部看一下shiro架构。

外部架构

  从外部即从应用程序的角度来观察shiro架构可以看到，应用代码直接交互的对象是Subject，也就是说shiro的对

外API核心为Subject；

Subject

  主体，代表当前“用户"。这里的"用户"是一个抽象概念，不一定是具体的某个人，与当前应用交互的任何东西都

是一个Subject。

SecurityManager

  安全管理器，相当于SpringMVC中的DispatcherServlet前端控制器,是shiro的核心；所有具体的交互都通过

securityManager进行控制。

  每个subject都必须与一个securityManager进行绑定，我们访问subject对象其实都是在于securityManager的特

定subject进行交互；另外，securityManager还负责进行认证和授权、及会话、缓存的管理。

Realm

  Realm实质上是一个安全相关的DAO，充当shiro与应用安全数据间的桥梁，封装了数据源的连接细节，并在需要

时将相关数据提供给shiro，因此可以把它看成DataSource安全数据源。

  shiro从realm获取安全数据（如用户、角色、权限），也就是说如果securityManager要验证用户身份，它需要从

Realm获取相应的用户信息进行比较以确定用户身份是否合法；也需要从Realm得到用户相应的角色/权限进行验证用

户是否能进行操作；

由此可以看出，shiro不提供维护用户/权限，而是通过Realm让开发人员自己注入。

也就是对我们而言，最简单的一个shiro应用

1、应用代码通过subject来进行认证和授权，而subject又委托给securityManager；

2、我们需要给shiro的securityManager注入Realm，从而让securityManager能得到合法的用户及其权限进行判断。

  通过以上两点，从某些角度或许我们可以简单地把它理解为是一种MVC的实现：subject是负责与外界交互的视图

层U层，securityManager是负责处理一系列操作的业务逻辑层B层，Realm是负责与数据库交互的数据访问层D层。

内部架构

  同上述说明类似，subject是应用代码交互的主体；securityManager典型的外观模式，是所有交互的核心；Realm

是安全实体数据源。

  需要注意的是，Realm是可插拔的可以有1个或多个，且支持多种实现：可以是JDBC实现，也可以是LDAP实现，或

者内存实现等等。shiro不知道你的用户、权限存储在哪及以何种格式存储，所以我们一般在应用中都需要实现自己

的Realm;

Authenticator

  对“Who are you ？”进行核实。通常涉及用户名和密码。负责收集principals 和 credentials，并将它们提交

给应用系统。如果提交的 credentials 跟应用系统中提供的 credentials吻合，就能够继续访问，否则需要重新提

交 principals 和 credentials，或者直接终止访问。

Authorizer

  身份份验证通过后，由这个组件对登录人员进行访问控制的筛查，比如“who can dowhat”， 或者“who can do

which actions”。Shiro 采用“基于 Realm”的方法，即用户（又称Subject）、用户组、角色和 permission 的聚

合体。

SessionManager

 session控制器，管理session的生命周期。shiro可以用在web、J2SE、EJB等很多环境，因此shiro抽象了一个自己

的session来管理主体与应用之间交互的数据。例如，一台web服务器，一台EJB服务器，我们想把两台服务器的会话

数据放到一个地方，这时候就可以实现自己的分布式会话，如把数据放到memcached服务器。

sessionDAO

  DAO我们都不陌生。比如我们想把session保存到数据库，可以实现自己的sessionDAO;如果想把session存

memcached中，那么可以实现自己的Memcached SessionDAO.

CacheManager

  缓存控制器，来管理如用户、角色、权限等的缓存。这些数据很少改变，放到缓存中后可以提高访问性能。可以

放在SessionDAO中使用。

Cryptography

密码模块，shiro提供了一些常见的加密组件用于如密码加密解密的。

由上可以看出，shiro既对外提供了简单易用的API，对内又可以扩展自己的实现，是一个很好的安全框架。

记住一点：shiro不会维护用户、维护权限；这些需要我们自己去设计提供，然后通过相应的接口注入给shiro即可。