Spring Security和Shiro的区别

一： Shiro框架

shiro由apache社区支持，广泛使用，相对文档也比较多和全面。

---

 主要的接口及名词

**subject：**主体，可以是用户也可以是程序，主体要访问系统，系统需要对主体进行认证、授权。

securityManager：安全管理器，主体进行认证和授权都是通过securityManager进行。它包含下面的认证器和授权器。

authenticator：认证器，主体进行认证最终通过authenticator进行的。

authorizer：授权器，主体进行授权最终通过authorizer进行的。

sessionManager：web应用中一般是用web容器对session进行管理，shiro也提供一套session管理的方式。可以实现单点登录。

SessionDao：通过SessionDao管理session数据，针对个性化的session数据存储需要使用sessionDao。

cache Manager：缓存管理器，主要对session和授权数据进行缓存，比如将授权数据通过cacheManager进行缓存管理，和ehcache整合对缓存数据进行管理。

realm：域，领域，相当于数据源，通过realm存取认证、授权相关数据。（它的主要目的是与数据库打交道，查询数据库中的认证的信息（比如用户名和密码），查询授权的信息（比如权限的code等，所以这里可以理解为调用数据库查询一系列的信息，一般情况下在项目中采用自定义的realm，因为不同的业务需求不一样））

注意：在realm中存储授权和认证的逻辑。

**cryptography：**密码管理，提供了一套加密/解密的组件，方便开发。比如提供常用的散列、加/解密等功能，比如md5散列算法。

---

认证原理

subject(主体)请求认证，调用subject.login(token)

SecurityManager(安全管理器)执行认证

SecurityManager通过ModularRealmAuthenticator进行认证。

ModularRealmAuthenticator将token传给realm，realm根据token中用户信息从数据库查询用户信息（包括身份和凭证），realm如果查询不到用户给ModularRealmAuthenticator返回null，ModularRealmAuthenticator抛出异常（用户不存在），realm如果查询到用户给ModularRealmAuthenticator返回AuthenticationInfo(认证信息)，ModularRealmAuthenticator拿着AuthenticationInfo(认证信息)去进行凭证（密码）比对。如果一致则认证通过，如果不致抛出异常（凭证错误）。
 

---

授权流程

对subject进行授权，调用方法isPermitted(“”)或者hasRole(“”)

SecurityManager执行授权，通过ModularRealmAuthorizer执行授权

ModularRealmAuthorizer执行realm（自定义的CustomRealm）从数据库查询权限数据调用realm的授权方法：doGetAuthorizationInfo

realm从数据库查询权限数据，返回ModularRealmAuthorizer

ModularRealmAuthorizer调用PermissionResolver进行权限串比对

如果比对后，isPermitted中"permission串"在realm查询到权限数据中，说明用户访问permission串有权限，否则没有权限，抛出异常。
 

---

二：Spring Security简介

Spring Security基于强大的spring社区。它提供了一组Spring应用上下文的bean，充分利用Spring ioc控制反转，DI注入和AOP切面编程。为了减少企业系统安全控制编写的大量复杂代码的工作。它主要包括“验证”和“认证”，两个操作，验证是指一个用户在你的应用里能够执行的某个操作，认证是为用户创建一个角色的过程。

---

总结：

目前在java web应用安全框架中，使用Apache Shiro的人较多，因为它相当简单，对比Spring Security，可能没有Spring Security做的功能强大，但是在实际工作时可能并不需要那么复杂的东西，所以使用小而简单的Shiro就足够了。对于它俩到底哪个好，这个不必纠结，能更简单的解决项目问题就好了。

Shiro比Spring Security更容易使用，也就是实现上简单一些，同时基本的授权认证Shiro也基本够用

Spring Security社区支持度更高，Spring社区的亲儿子，支持力度和更新维护上有优势，同时和Spring这一套的结合较好。

Shiro 功能强大、且 简单、灵活。是Apache 下的项目比较可靠，且不跟任何的框架或者容器绑定，可以独立运行。