1、Shiro简介

简介

Apache Shiro 是一个强大易用的 Java 安全框架，提供了认证、受权、加密和会话管理等功能，对于任何一个应用程序，Shiro 均可以提供全面的安全管理服务。而且相对于其余安全框架(例如：Spring Security)，Shiro 要简单的多。

Shiro 能够很是容易的开发出足够好的应用，其不只能够用在 JavaSE 环境，也能够用在 JavaEE 环境。Shiro 能够帮助咱们完成：认证、受权、加密、会话管理、与 Web 集成、缓存等。
其基本功能点以下图所示

• Authentication：身份认证/登陆，验证用户是否是拥有相应的身份；
• Authorization：受权，即权限验证，验证某个已认证的用户是否拥有某个权限；即判断用户是否能作事情，常见的如：验证某个用户是否拥有某个角色。或者细粒度的验证某个用户对某个资源是否具备某个权限；
• Session Manager：会话管理，即用户登陆后就是一次会话，在没有退出以前，它的全部信息都在会话中；会话能够是普通 JavaSE 环境的，也能够是如 Web 环境的；
• Cryptography：加密，保护数据的安全性，如密码加密存储到数据库，而不是明文存储；
• Web Support：Web 支持，能够很是容易的集成到 Web 环境；
• Caching：缓存，好比用户登陆后，其用户信息、拥有的角色 / 权限没必要每次去查，这样能够提升效率；
• Concurrency：shiro 支持多线程应用的并发验证，即如在一个线程中开启另外一个线程，能把权限自动传播过去；
• Testing：提供测试支持；
• Run As：容许一个用户伪装为另外一个用户（若是他们容许）的身份进行访问；
• Remember Me：记住我，这个是很是常见的功能，即一次登陆后，下次再来的话不用登陆了。

对于一个好的框架，通常都具备很是简单易于使用的 API，且API契约明确；而且其架构可扩展，即很是容易插入用户自定义实现，由于任何框架都不能知足全部需求。 首先，咱们API方法来看下Shiro吧，其核心API以下图：

能够看到：Shiro的对外API核心就是Subject；

• Subject：主体，表明了当前 “用户”，这个用户不必定是一个具体的人，与当前应用交互的任何东西都是 Subject，如网络爬虫，机器人等；即一个抽象概念；全部 Subject 都绑定到 SecurityManager，与 Subject 的全部交互都会委托给 SecurityManager；能够把 Subject 认为是一个门面；SecurityManager 才是实际的执行者；

• SecurityManager：安全管理器，即全部与安全有关的操做都会与 SecurityManager 交互；且它管理着全部 Subject；能够看出它是 Shiro 的核心，它负责与后边介绍的其余组件进行交互，若是学习过 SpringMVC，你能够把它当作 DispatcherServlet 前端控制器；

• Realm：域，Shiro从Realm获取安全数据（如用户、角色、权限），就是说SecurityManager要验证用户身份，那么它须要从 Realm 获取相应的用户进行比较以肯定用户身份是否合法；也须要从Realm获得用户相应的角色/权限进行验证用户是否能进行操做；能够把Realm当作DataSource，即安全数据源。
  从上述API所看，一个最简单的Shiro应用应包含： 应用代码经过 Subject 来进行认证和受权，而 Subject 又委托给 SecurityManager； SecurityManager 又拥有依赖 Realm，从而让 SecurityManager 能获得合法的用户及其权限进行判断。从这点也能够看出，Shiro 不提供维护用户 / 权限，而是经过 Realm 让开发人员本身注入。
  接下来咱们来从 Shiro 内部来看下 Shiro 的架构，以下图所示：
  

• Subject：主体，能够看到主体能够是任何能够与应用交互的 “用户”；

• SecurityManager：至关于 SpringMVC 中的 DispatcherServlet 或者 Struts2 中的 FilterDispatcher；是 Shiro 的心脏；全部具体的交互都经过 SecurityManager 进行控制；它管理着全部 Subject、且负责进行认证和受权、及会话、缓存的管理。

• Authenticator：认证器，负责主体认证的，这是一个扩展点，若是用户以为 Shiro 默认的很差，能够自定义实现；其须要认证策略（Authentication Strategy），即什么状况下算用户认证经过了；

• Authrizer：受权器，或者访问控制器，用来决定主体是否有权限进行相应的操做；即控制着用户能访问应用中的哪些功能；

• Realm：能够有 1 个或多个 Realm，能够认为是安全实体数据源，即用于获取安全实体的；能够是 JDBC 实现，也能够是 LDAP 实现，或者内存实现等等；由用户提供；注意：Shiro 不知道你的用户 / 权限存储在哪及以何种格式存储；因此咱们通常在应用中都须要实现本身的 Realm；

• SessionManager：若是写过 Servlet 就应该知道 Session 的概念，Session 是须要有人去管理它的生命周期的，这个组件就是 SessionManager；而 Shiro 并不只仅能够用在 Web 环境，也能够用在如普通的 JavaSE 环境、EJB 等环境；全部呢，Shiro 就抽象了一个本身的 Session 来管理主体与应用之间交互的数据；这样的话，好比咱们在 Web 环境用，刚开始是一台 Web 服务器；接着又上了台 EJB 服务器；这时想把两台服务器的会话数据放到一个地方，这个时候就能够实现本身的分布式会话（如把数据放到 Memcached 服务器）；

• SessionDAO：DAO 你们都用过，数据访问对象，用于会话的 CRUD，好比咱们想把 Session 保存到数据库，那么能够实现本身的 SessionDAO，经过如 JDBC 写到数据库；好比想把 Session 放到 Memcached 中，能够实现本身的 Memcached SessionDAO；另外 SessionDAO 中可使用 Cache 进行缓存，以提升性能；

• CacheManager：缓存控制器，来管理如用户、角色、权限等的缓存的；由于这些数据基本上不多去改变，放到缓存中后能够提升访问的性能

• Cryptography：密码模块，Shiro 提升了一些常见的加密组件用于如密码加密 / 解密的。

到此，咱们应该对 Shiro 的基本信息和架构及其组件就有了个初步的认识，接下来就开始正式的学习如何利用 Shiro 进行开发了。