Shiro 和 Spring Security的区别

Kill206

已于 2022-09-04 22:59:55 修改

阅读量3k

点赞数 3

文章标签： spring java 后端

于 2022-09-04 22:55:06 首次发布

本文链接：https://blog.csdn.net/weixin_68286174/article/details/126682826

版权

一、Shiro简介

Apache Shiro是一个强大且易用的Java安全框架,执行身份验证、授权、密码学和会话管理。使用Shiro的易于理解的API,您可以快速、轻松地获得任何应用程序,从最小的移动应用程序到最大的网络和企业应用程序。

1. Authentication 认证：验证是哪个用户登录；

2. Authorization 授权：决定当前登录用户是否有权限去访问受保护的资源；

3. Cryptography：通过加密算法保护数据安全；

4. Session Management: 当用户使用你的应用是自身携带的数据；

5. Web Integration: 虽然Shiro是设计用来确保任何基于JVM的应用，但是很多时候是用来保护Web应用。

6. Integrations:可以很好的集成其他的技术和框架。

二、Shiro三大核心组件

1.Realms

realm：域，领域，相当于数据源，通俗意义的DAO层，通过realm存取认证、授权相关数据。

2.Subject

subject：主体，可以是用户也可以是程序，主体要访问系统，系统需要对主体进行认证、授权。

3.SecurityManager

securityManager：安全管理器，主体进行认证和授权都是通过securityManager进行，是shiro的心脏。

三、Shiro四大核心功能:Authentication,Authorization,Cryptography,Session Management

四、Spring Security

Spring Security是一个能够为基于Spring的企业应用系统提供声明式的安全访问控制解决方案的安全框架。它提供了一组可以在Spring应用上下文中配置的Bean，充分利用了Spring IoC，DI（控制反转Inversion of Control ,DI:Dependency Injection 依赖注入）和AOP（面向切面编程）功能，为应用系统提供声明式的安全访问控制功能，减少了为企业系统安全控制编写大量重复代码的工作。它是一个轻量级的安全框架，它确保基于Spring的应用程序提供身份验证和授权支持。它与Spring MVC有很好地集成，并配备了流行的安全算法实现捆绑在一起。安全主要包括两个操作“认证”与“验证”（有时候也会叫做权限控制）。“认证”是为用户建立一个其声明的角色的过程，这个角色可以一个用户、一个设备或者一个系统。“验证”指的是一个用户在你的应用中能够执行某个操作。在到达授权判断之前，角色已经在身份认证过程中建立了。