理论篇-安全框架

年份:2018

日期:9-2

知识:shiro

1>Shiro定义:

shiro是Apache的强大灵活的开源安全框架

Shiro主要可以用在:认证/授权/企业会话管理/安全加密等地方

2>Shiro与spring security比较

Shiro	spring security
简单,灵活	复杂笨重
可脱离spring	不可脱离spring
粒度较粗	粒度较细

3>Shiro认证

认证流程

 

4>Shiro授权

授权流程

 

5>Shiro加密

5.1>Shiro-散列配置

5.2>HashedCredentialsMatcher

5.3自定义realm中使用散列

5.4>盐的使用

6 shiro与spring整合

//maven项目例:

1> 引入需要的jar

spring-context

spring-webmvc

shiro-core

shiro-spring

shiro-web

2 shiro-web.xml配置shiro过滤器

[org.springframework.web.filter.DelegatingFilterProxy]

3 spring.xml

shirofilter 对象

[org.apache.shiro.web.ShiroFilterFactoryBean]

//

过滤器链

//

securityManager对象

[org.apache.shiro.web.mgt.DefaultWebSecurityManager]

 

Realm

[class属性指向类]

加密

[org.apache.shiro.authc.credential.HashedCredentialsMatcher]

 

7 注解方式

注解:

Shiro共有5个注解

RequiresAuthentication:

使用该注解标注的类，实例，方法在访问或调用时，当前Subject必须在当前session中已经过认证。

RequiresGuest:

使用该注解标注的类，实例，方法在访问或调用时，当前Subject可以是“gust”身份，不需要经过认证或者在原先的session中存在记录。

RequiresPermissions:

当前Subject需要拥有某些特定的权限时，才能执行被该注解标注的方法。如果当前Subject不具有这样的权限，则方法不会被执行。

RequiresRoles:

当前Subject必须拥有所有指定的角色时，才能访问被该注解标注的方法。如果当天Subject不同时拥有所有指定角色，则方法不会执行还会抛出AuthorizationException异常。

RequiresUser

当前Subject必须是应用的用户，才能访问或调用被该注解标注的类，实例，方法。

8过滤器

 

//(1)

AuthorizatioinFilter = 授权

AuthenticatingFilter = 认证

实现自定义时,需要继承

//

[

代码逻辑

1 获取主题

2 获取角色

3 处理

3.1 是否存在角色

3.2 存在对应的角色应该怎样做

]

2 shiro-web.xml

说明：

1 = 配置自定义的filter的bean

2 =添加property属性

3 = 过滤链加入filter