shiro (认识shiro)

最新推荐文章于 2023-07-31 08:49:30 发布

.诗酒趁年华

最新推荐文章于 2023-07-31 08:49:30 发布

阅读量604

点赞数

分类专栏： shiro 文章标签：系统安全 java shiro

本文链接：https://blog.csdn.net/weixin_50020236/article/details/125718238

版权

shiro 专栏收录该内容

6 篇文章 2 订阅

订阅专栏

shiro

1、权限的管理

1.1、什么是权限管理

基本涉及到用户参与的系统都要进行权限管理，权限管理属于系统安全的范畴，权限管理实现对用户访问系统的控制，按照安全规则或者安全策略控制用户可以访问而且只能访问自己被授权的资源。

权限管理包括用户身份认证和授权两部分，简称认证授权。对于需要访问控制的资源用户首先经过身份认证，认证通过后用户具备该资源的访问权限可访问。

1.2、什么是身份认证

身份认证，就是判断一个用户是否为一个合法用户的处理过程。最常用的简单的身份认证方式是系统通过核对用户输入的用户名和口令，看其是否与系统中存储的该用户的用户名和口令是否一致，来判断用户名的身份是否正确。对于采用指纹等系统，则出示指纹；对于硬件Key 等刷卡系统，则需要刷卡。

1.3、什么是授权

授权，即访问控制，控制谁能访问哪些资源。主体进行身份认证后需要分配权限方可访问系统的资源。对于某些资源没有权限是无法访问的

2、什么是shiro

Apache Shiro™ is a powerful and easy-to-use Java security framework that performs authentication, authorization, cryptography, and session management. With Shiro’s easy-to-understand API, you can quickly and easily secure any application – from the smallest mobile applications to the largest web and enterprise applications.

Shiro 是 Apache 旗下的一个开源框架，它将软件系统的安全认证相关的功能抽取出来，实现用户身份认证，权限授权，加密，会话管理等功能，组成了一个通用的安全认证框架

3、 shiro 的核心架构

在这里插入图片描述

3.1、 Subject

Subject即主体，外部应用与subject进行交互，subject记录了当前操作用户，将用户的概念理解为当前操作的主体，可能是一个通过浏览器请求的用户，也可能是一个运行的程序。subject在shiro 是一个接口，接口定义了很多认证授权相关的方法，外部程序通过subject进行认证授权，而subject是通过securityManager 安全管理器进行认证授权

3.2、 SecurityManager

SecurityManager 即安全管理器，对全部的subject进行安全管理，他是shiro的核心，负责所有的subject进行安全管理。通过SecurityManager可以完成subject的认证、授权等，实际上SecurityManager是通过Authenticator进行认证，通过Authorizer进行授权，通过SeesionManager进行会话管理等。