一、shiro简介
Shiro是apache旗下一个开源框架，它将软件系统的安全认证相关的功能抽取出来，实现用户身份认证，权限授权、加密、会话管理等功能，组成了一个通用的安全认证框架。
使用 Apache Shiro 可以做到：
- 验证用户身份。
- 对用户进行访问控制，比如：
- 判断某个用户是否被赋予某个特定角色
- 判断某个用户是否被允许执行某些操作
- 可以在各种环境下使用 Session API ，即使是不在web或EJB容器中。
- 对认证、访问控制或在会话生命周期中的事件进行响应处理。
- 可以聚合使用一个或多个安全数据的数据源而使用者只需了解一层抽象 。
- 使用单点登录(SSO)。
- 使用“下次自动登陆（Remember Me）”。
二、shiro的功能
1、shiro的着重点如下图：
2、应用安全的四大基础 ：认证，授权，会话管理与密码加密
- 认证： 或“登录”，用以验证用户身份。
- 授权： 访问控制, 比如决定谁可以访问某些资源。
- 会话管理： 管理用户相关的session，即使是在非web或EJB应用中。
- 加密：可以非常方便地使用（各种）加密算法保证数据的安全。
Shiro还包含了一些其他功能以支持不同的应用环境，其中：
- 对Web的支持： Shiro自带的支持Web的API可以很容易地保证web应用的安全。
- 缓存：缓存在Apache Shiro的API中是“一等公民”，可以保证操作的快速高效。
- 并发： Apache Shiro的并发功能支持开发多线程的应用。
- 测试：对测试的支持可以帮助你编写单元测试与集成测试。
- “以...（身份）运行”（Run As）：允许一个用户使用另外某个用户的身份（执行操作），这个功能常用于管理场景中（比如“以管理员身份运行”）。
- “自动登陆”（Remember Me）：可以跨会话记住用户身份，只在某些特殊情况下才需要强制登录。
三、shiro的架构
1、架构图
2、几个主要的概念介绍
- Subject
主体，外部应用与subject进行交互，subject记录了当前操作用户，将用户的概念理解为当前操作的主体，可能是一个通过浏览器请求的用户，也可能是一个运行的程序。
Subject在shiro中是一个接口，接口中定义了很多认证授相关的方法，外部程序通过subject进行认证授，而subject是通过SecurityManager安全管理器进行认证授权。
- SecurityManager
安全管理器，对全部的subject进行安全管理，它是shiro的核心，负责对所有的subject进行安全管理。通过SecurityManager可以完成subject的认证、授权等，实质上SecurityManager是通过Authenticator进行认证，通过Authorizer进行授权，通过SessionManager进行会话管理等。
- Authenticator
认证器，对用户身份进行认证，Authenticator是一个接口，shiro提供ModularRealmAuthenticator实现类，通过ModularRealmAuthenticator基本上可以满足大多数需求，也可以自定义认证器。
- Authentication Strategy
如果配置了不止一个Realm，AuthenticationStrategy将用来决定什么样的条件下认证会成功或失败（比如，如果一个realm的数据认证成功而其他的却失败了，能算是认证通过吗？还是必须所有的都认证成功？还是只要一个就可以？）。
- Authorizer
授权器，用户通过认证器认证通过，在访问功能时需要通过授权器判断用户是否有此功能的操作权限。
- Realm
领域，相当于datasource数据源，securityManager进行安全认证需要通过Realm获取用户权限数据，比如：如果用户身份数据在数据库那么realm就需要从数据库获取用户身份信息。
- SessionManager
会话管理，shiro框架定义了一套会话管理，它不依赖web容器的session，所以shiro可以使用在非web应用上，也可以将分布式应用的会话集中在一点管理，此特性可使它实现单点登录。
- SessionDAO
会话dao，是对session会话操作的一套接口，比如要将session存储到数据库，可以通过jdbc将会话存储到数据库。
- CacheManager
缓存管理，将用户权限数据存储在缓存，这样可以提高性能。
- Cryptography
密码管理，shiro提供了一套加密/解密的组件，方便开发。比如提供常用的散列、加/解密等功能。
157
被折叠的 条评论
为什么被折叠?
到【灌水乐园】发言
