shiro从入门到精通之认证执行流程

架构图如下：

代码如下：

认证代码


// 用户登陆、用户退出
@Test
public void testLoginLogout() {


// 构建SecurityManager工厂，IniSecurityManagerFactory可以从ini文件中初始化SecurityManager环境
Factory<SecurityManager> factory = new IniSecurityManagerFactory(
"classpath:shiro.ini");


// 通过工厂创建SecurityManager
SecurityManager securityManager = factory.getInstance();

// 将securityManager设置到运行环境中
SecurityUtils.setSecurityManager(securityManager);


// 创建一个Subject实例，该实例认证要使用上边创建的securityManager进行
Subject subject = SecurityUtils.getSubject();


// 创建token令牌，记录用户认证的身份和凭证即账号和密码 
UsernamePasswordToken token = new UsernamePasswordToken("zhang", "123");


try {
// 用户登陆
subject.login(token);
} catch (AuthenticationException e) {
// TODO Auto-generated catch block
e.printStackTrace();
}


// 用户认证状态


Boolean isAuthenticated = subject.isAuthenticated();


System.out.println("用户认证状态：" + isAuthenticated);


// 用户退出


subject.logout();


isAuthenticated = subject.isAuthenticated();


System.out.println("用户认证状态：" + isAuthenticated);

}

执行流程如下：

1、创建token令牌，token中有用户提交的认证信息即账号和密码

2、执行subject.login(token)，最终由securityManager通过Authenticator进行认证
3、Authenticator的实现ModularRealmAuthenticator调用realm从ini配置文件取用户真实的账号和密码，这里使用的是IniRealm（shiro自带）
4、IniRealm先根据token中的账号去ini中找该账号，如果找不到则给ModularRealmAuthenticator返回null，如果找到则匹配密码，匹配密码成功则认证通过。
常见的异常如下：
UnknownAccountException
账号不存在异常如下：
org.apache.shiro.authc.UnknownAccountException: No account found for user。。。。
IncorrectCredentialsException
当输入密码错误会抛此异常，如下：
org.apache.shiro.authc.IncorrectCredentialsException: Submitted credentials for token [org.apache.shiro.authc.UsernamePasswordToken - zhangsan, rememberMe=false] did not match the expected credentials.
更多如下：
DisabledAccountException（帐号被禁用）
LockedAccountException（帐号被锁定）
ExcessiveAttemptsException（登录失败次数过多）
ExpiredCredentialsException（凭证过期）等