Shiro+SpringMVC 实现更安全的登录（加密匹配&登录失败超次数锁定帐号）

前言

初学shiro，shiro提供了一系列安全相关的解决方案，根据官方的介绍，shiro提供了“身份认证”、“授权”、“加密”和“Session管理”这四个主要的核心功能，如下图所示：

本篇blog主要用到了Authentication（身份认证）和Cryptography（加密），并通过这两个核心模块来演示shiro如何帮助我们构建更安全的web project中的登录模块，实现了安全的密码匹配和登录失败超指定次数锁定账户这两个主要功能，下面一起来体验一下。

身份认证与加密

如果简单了解过shiro身份认证的一些基本概念，都应该明白shiro的身份认证的流程，大致是这样的：当我们调用subject.login(token)的时候，首先这次身份认证会委托给Security Manager，而Security Manager又会委托给Authenticator，接着Authenticator会把传过来的token再交给我们自己注入的Realm进行数据匹配从而完成整个认证。如果不太了解这个流程建议再仔细读一下官方提供的Authentication说明文档：

http://shiro.apache.org/authentication.html

接下来通过代码来看看，理论往往没有说服力，首先看一下项目结构（具体可在blog尾部下载源码参考）：

项目通过Maven的分模块管理按层划分，通过最常用的spring+springmvc+mybatis来结合shiro进行web最简单的登录功能的实现，首先是登录页面：

我们输入用户名和密码点击submit则跳到UserController执行登录的业务逻辑，接下来看看UserController的代码：

package com.firstelite.cq.controller;

import java.text.SimpleDateFormat;
import java.util.Date;

import javax.servlet.http.HttpServletRequest;

import org.apache.shiro.SecurityUtils;
import org.apache.shiro.authc.AuthenticationException;
import org.apache.shiro.authc.ExcessiveAttemptsException;
import org.apache.shiro.authc.IncorrectCredentialsException;
import org.apache.shiro.authc.UnknownAccountException;
import org.apache.shiro.authc.UsernamePasswordToken;
import org.apache.shiro.subject.Subject;
import org.springframework.stereotype.Controller;
import org.springframework.web.bind.annotation.RequestMapping;

@Controller
@RequestMapping(value = "user")
public class UserController extends BaseController {

	@RequestMapping(value = "/LoginPage")
	public String loginPage() {
		String now = new SimpleDateFormat("yyyy-MM-dd HH:mm:ss")
				.format(new Date());
		System.out.println(now + "to LoginPage!!!");
		re