什么是 Apache Shiro

什么是Apache Shiro

Apache Shiro 是一种功能强大且易于使用的Java安全框架，它具有身份验证、访问授权、数据加密、会话管理等功能，可用于保护任何应用程序的安全。
如: 命令行应用程序、移动应用程序、Web应用程序、企业级应用程序。从小到大到很大，Apache Shiro都会给你提供安全帮助。

Shiro 为你的应用程序提供如下API,帮助你更好的管理应用程序的安全。

• 身份验证

证明用户的身份。也就是所谓的用户的 “登录” 功能，验证访问的用户是否有权利登录系统或者访问后台接口。

• 授权

访问权限的控制。 根据登录用户被分配的权限，控制用户可以访问哪些接口、那个模块菜单、那个页面、那个按钮等。

• 密码学

保护或隐藏数据以防止被窥视。 比如对用户密码进行加密、对访问的数据进行加密返回等，保证用户信息及数据的安全性。

• 会话管理

每个用户的时间敏感状态。比如用户是否登录、会话是否超时等。

• 辅助功能

Web应用程序的安全性、单元测试、多线程支持等。辅助功能是为了加强上面四点功能的能力。

---

为什么要用Apache Shiro

如今使用Apache Shiro的人越来越多，因为Shiro相对于Spring Security 来说更容易上手写。Apache Shiro 功能简单，易于使用。只要简单的配置就可以实现日常的安全性功能，简单的API让新人更容易使用，让你有更多的时间放在业务需求的实现上。

---

Apache Shiro 三大组件

• 主体（Subject）
• 安全管理器（SecurityManager）
• 领域（Realm）

主体

代表当前“用户”，“用户”一次不一定指的是人，也可以是其他应用程序、接口等。这是一个抽象概念，用于表示与该程序交互的任何事物。应用代码直接交互的对象就是Subject,Shiro对外API的核心对象就是主体（Subject）。

安全管理器

安全管理器是Shiro的核心组件。即所有与安全有关的操作都会与安全管理器（SecurityManager）交互，如，主体（Subject）的管理者就是安全控制器（SecurityManager）。安全管理器还管理者Shiro 中的其它组件，来协调它们共同更好的完成安全管理。

领域

领域充当Shiro与应用程序的安全数据之间的“桥梁”或“连接器”。当需要与安全性相关的数据进行交互，来实现身份验证或者授权时，Shiro会从为应用程序配置的一个或者多个领域中查找到许多需要的内容。它封装了数据源链接的详细信息，并根据需要使关联的数据可以被Shiro使用。在配置Shiro时，至少要指定一个领域用于身份验证或授权。如果Shiro中默认给配置的领域无法满足你的需求，你可以插入自己的领域实现，用于表示自定义数据源。

Shiro从领域（Realm）获取安全数据（如,用户、角色、权限），当安全管理器（SecurityManager）要验证用户身份，那么它需要从领域中获取相应的用户信息进行比较以确定用户身份是否合法，也需要从Realm得到用户相应的角色/权限进行验证用户是否能进行某项操作。可以理解Realm为DAO层，与数据源交互，来获取安全数据，安全数据源。

---

工作流程

从应用程序角度的来观察如何使用 Shiro 完成工作。如下图：

与应用程序交互时序图

上图解释(由上到下)：

1. 应用代码带着前端传入的用户名密码信息调用主体的认证授权接口。
2. 主体将带着传入的用户名密码信息告诉安全管理器，这个用户需要认证授权。
3. 应用程序在调用完认证授权接口后，会通过用户名，到后台数据库中查询相应的用户信息。注意：此接口需要我们自己写。
4. 如果用户存在，将用户的基本信息（用户名、加密后的密码、角色、权限）返回给应用程序。注意：此处的用户信息，需要我们自己封装。
5. 应用程序将返回的用户信息（用户名、加密后的密码、角色、权限等信息）封装到领域对象中。
6. 将带有用户信息的领域注入到安全管理器中，安全管理器会将从前端传入的用户名密码与领域中的用户名密码进行对比，如果一一致，则认为该用户信息合法。该用户可以使用相应角色权限对应的接口或功能等。

注意：

这里的用户密码是通过加密的，数据库返回的密码一定是在用户在第一次注册，或者后续需改后进行加盐加密的，前端通过应用程序传入到安全控制器中的密码最初是明文，或者是通过密钥加密过的，安全管理器会对传入的密码按照规定好的加盐加密算法进行加密，得到一串乱乱的字符串，与数据库查出来的加密后的密码串进行对比，如果一致，则认为用户信息合法。

从上图可以看出，Shiro 不提供维护用户 / 权限，需要通过 Realm 让开发人员自己注入。

---

Apache Shiro 基本功能

• Authentication：身份认证 / 登录，验证用户是否拥有相应的身份。
• Authorization：授权，即权限验证，验证某个已认证的用户是否拥有某个权限；即判断用户是否能做事情，常见的如：验证某个用户是否拥有某个角色。或者细粒度的验证某个用户对某个资源是否具有某个权限。
• Session Manager：会话管理，即用户登录后就是一次会话，在没有退出之前，它的所有信息都在会话中；会话可以是普通 JavaSE 环境的，也可以是如 Web 环境的。
• Cryptography：加密，保护数据的安全性，如密码加密存储到数据库，而不是明文存储。
• Web Support：Web 支持，可以非常容易的集成到 Web 环境。
• Caching：缓存，比如用户登录后，其用户信息、拥有的角色 / 权限不必每次去查，这样可以提高效率。
• Concurrency：shiro 支持多线程应用的并发验证，即如在一个线程中开启另一个线程，能把权限自动传播过去。
• Testing：提供测试支持。
• Run As：允许一个用户假装为另一个用户（如果他们允许）的身份进行访问。
• Remember Me：记住我，即一次登录后，下次再来的话不用登录了。

---

Apache Shiro 内部架构图

内部架构图

• Subject：主体，可以看到主体可以是任何可以与应用交互的 “用户”。
• SecurityManager：是 Shiro 的心脏，所有具体的交互都通过 SecurityManager 进行控制，它管理着所有 Subject、且负责进行认证和授权、及会话、缓存的管理。
• Authenticator：认证器，负责主体认证的，这是一个扩展点，如果用户觉得 Shiro 默认的不好，可以自定义实现。其需要认证策略（Authentication Strategy），即什么情况下算用户认证通过了。
• Authrizer：授权器，或者访问控制器，用来决定主体是否有权限进行相应的操作；即控制着用户能访问应用中的哪些功能。
• Realm：可以有 1 个或多个 Realm，可以认为是安全实体数据源，即用于获取安全实体的；可以是 JDBC 实现，也可以是 LDAP 实现，或者内存实现等等；由用户提供。注意：Shiro 不知道你的用户 / 权限存储在哪及以何种格式存储。所以我们一般在应用中都需要实现自己的 Realm；
• SessionManager：Session管理器，如，用户一次访问在没有关闭页面之前，算是一个Session。Session 需要有人去管理它的生命周期，这个组件就是 SessionManager。而 Shiro 并不仅仅可以用在 Web 环境，也可以用在如普通的 JavaSE 环境、EJB 等环境。所有呢，Shiro 就抽象了一个自己的 Session 来管理主体与应用之间交互的数据；这样的话，比如我们在 Web 环境用，刚开始是一台 Web 服务器；接着又上了台 EJB 服务器；这时想把两台服务器的会话数据放到一个地方，这个时候就可以实现自己的分布式会话（如把数据放到 Redis 服务器）；
• SessionDAO：DAO 大家都用过，数据访问对象，用于会话的 CRUD，比如我们想把 Session 保存到数据库，那么可以实现自己的 SessionDAO，通过如 JDBC 写到数据库；比如想把 Session 放到 Redis中，可以实现自己的 Redis SessionDAO；另外 SessionDAO 中可以使用 Cache 进行缓存，以提高性能。
• CacheManager：缓存控制器，来管理如用户、角色、权限等的缓存的；因为这些数据基本上很少去改变，放到缓存中后可以提高访问的性能。
• Cryptography：密码模块，Shiro 提高了一些常见的加密组件用于如密码加密 / 解密的。

以上是Apache Shiro 基本概念的学习内容，记录于此，如有不对之处，还请各位大神指点。

---

本文参考

http://shiro.apache.org/reference.html

https://www.iteye.com/blog/jinnianshilongnian-2018936

感谢各位大神们分享的博客记录。