shiro学习笔记一 shiro基础的了解

我学习shiro时候的一些笔记和想法以后忘了可以回来看，希望大神可以指导。

shiro的功能

Authentication：身份认证/登录，验证用户是不是拥有相应的身份；

Authorization：授权，即权限验证，验证某个已认证的用户是否拥有某个权限；即判断用户是否能做事情，常见的如：验证某个用户是否拥有某个角色。或者细粒度的验证某个用户对某个资源是否具有某个权限；

Session Manager：会话管理，即用户登录后就是一次会话，在没有退出之前，它的所有信息都在会话中；会话可以是普通JavaSE环境的，也可以是如Web环境的；

Cryptography：加密，保护数据的安全性，如密码加密存储到数据库，而不是明文存储；

Web Support：Web支持，可以非常容易的集成到Web环境；

Caching：缓存，比如用户登录后，其用户信息、拥有的角色/权限不必每次去查，这样可以提高效率；

Concurrency：shiro支持多线程应用的并发验证，即如在一个线程中开启另一个线程，能把权限自动传播过去；

Testing：提供测试支持；

Run As：允许一个用户假装为另一个用户（如果他们允许）的身份进行访问；

Remember Me：记住我，这个是非常常见的功能，即一次登录后，下次再来的话不用登录了。

subject主体：代表用户，这里的用户并不代表一定是登录的用户，是当前访问的用户，可以是匿名用户（也就是没有登录，没有认证通过的用户，可以说是访客），也可以是登录后的用户。shiro集成到应用程序中以后，应用程序主要与subject打交道。

SecurityManager：安全管理器 是shiro的核心，用户操作subject后，subject会把用户的操作给SecurityManager去执行，SecurityManager在取调用其他的模块去完成相应的功能，就像是springMVC里面的DispatcherServlet一样。

Realm：可以称之为数据源，shiro要判断用户的用户名密码是否正确，和要获取用户的权限，就需要访问数据库，这部分代码需要程序员们自己去写，继承AuthorizingRealm，重写doGetAuthenticationInfo（认证）和doGetAuthorizationInfo（权限）这两个方法，还有一个方法initCredentialsMatcher是用来指导密码的加密算法和迭代次数的，写完后告诉shiro你的这个实现类是谁，shiro就知道该去回调哪个方法了。

doGetAuthenticationInfo方法：这个方法的调用实在，subject，调用login的时候调，调用login的时候shiro已经知道了需要验证的用户名和密码了，这个时候，我们只需要，根据用户名获取到真实的密码（加密后的）和，需要往Session中存的用户信息就可以了，然后返回

SimpleAuthenticationInfo对象，这个对象里面就应放入，真实加密密码和用户对象，shiro就会自己去验证密码是否正确

。

doGetAuthorizationInfo权限方法：subject需要认证权限的时候会自动回调这个方法，程序员需要在这个方法里面获取到权限信息和角色信息然后放到 SimpleAuthorizationInfo这个对象中返回去返回，shiro就会自己去判断要验证权限在不在，

如果启用了缓存，shiro只会在第一次调用这个方法，获取权限，然后就会放进缓存中，否则，每一次权限认证shiro都会调用这个方法去获取权限信息。