shiro 安全框架总结

2021SC@SDUSC
经过十二篇的代码分析，对shiro的安全验证机制已经有了大概的了解

以下对shiro主要部分的概述总结：

Subject：主体，既可以代表用户，也可以代表程序（网络爬虫等），它需要访问系统，系统则需要对其进行认证和授权，可以看到主体可以是任何可以与应用交互的“用户”。
SecurityManager： 安全管理，用户请求Url，对应于一个Subject对象，由SecurityManager统一对Subject进行认证和授权（父）。
Authenricator： 认证器，主要对Subject进行认证，Subject的信息在shrio中是通过AuthenticationToken对象来储存，由AuthenricationStrategy进行验证管理．（子）。如果用户觉得Shiro默认的不好，可以自定义实现；其需要认证策略（Authentication Strategy），即什么情况下算用户认证通过了；

Authorizer：授权器，Subject认证后，由它来对其授予对应角色权限．（子）即控制着用户能访问应用中的哪些功能；

SessionManager： Shiro的session管理方式，Shiro提供了一个专门管理session的方式，通常的web程序中的session是HttpSession的对象，是由web容器来管理的．如果写过Servlet就应该知道Session的概念，Session呢需要有人去管理它的生命周期，这个组件就是SessionManager；而Shiro并不仅仅可以用在Web环境，也可以用在如普通的JavaSE环境、EJB等环境；所有呢，Shiro就抽象了一个自己的Session来管理主体与应用之间交互的数据；这样的话，比如我们在Web环境用，刚开始是一台Web服务器；接着又上了台EJB服务器；这时想把两台服务器的会话数据放到一个地方，这个时候就可以实现自己的分布式会话（如把数据放到Memcached服务器）；

SessionDao： session的接口，Shiro通过它来管理session数据，个性化的session数据储存需要使用sessionDao.

CacheManager： 缓存控制器，主要对session数据和授权数据进行缓存，减小数据库的访问压力．可以通过和ehcache的整合对缓存数据进行管理．

参考：https://blog.csdn.net/u011781521/article/details/55094751

总的来说shiro是一款方便好用的安全框架