Shiro基础

原文地址：Shiro 基础教程
博客地址：http://www.extlight.com

一、前言

Apache Shiro是 Java的一个安全框架，功能强大，它为开发人员提供一个直观而全面的认证、授权、加密及会话管理的解决方案。

二、功能介绍

2.1 功能特点

Shiro包含 10 个内容，如下图：
Shiro基础
1）Authentication：身份认证/登陆，验证用户是不是拥有相应的身份；
2）Authorization：授权，即权限验证，验证某个已认证的用户是否拥有某个权限；即判断用户是否能做事情，常见的如：验证用户是否拥有某个角色。或者细粒度的验证某个用户对某个资源是否拥有某个权限；
3）Session Manager：会话管理，即用户登陆后就是一次会话，在没有退出之前，它的所有信息都在会话中；会话可以是普通的Java SE环境中，也可以是Java web环境；
4）Cryptography：加密，保护数据的安全性，如密码加密存储到数据库，而不是明文存储；
5）Web Support：Web支持，可以非常容易的集成到 Web 环境；
6）Caching：缓存，比如用户登陆后，其用户信息、拥有的角色/权限不必每次去查，这样可以提高效率；
7）Concurrency：shiro 支持多线程应用的并发验证，即如在一个线程中开启另一个线程，能把权限自动传播过去；
8）Testing：提供测试支持；
9）Run As：允许一个用户假装为另一个用户（如果它们允许）的身份进行访问；
10）Remember Me：记住我，这是一个非常常见的功能，即一次登陆后，下次再来的话不用登陆了。

2.2 运行原理

shiro 运行原理图1（应用程序角度）如下：

Shiro基础
1）Subject：主体，代表了当前"用户"。这个用户不一定是一个具体的人，与当前应用交互的任何东西都是 Subject，如网络爬虫，机器人等。所有的Subject都绑定到 SecurityManager，与 Subject 的所有交互都委托给 SecurityManager。我们可以把Subject认为是一个门面，SecurityManager 才是一个执行者；
2）SecurityManager：安全管理器。即所有与安全有关的操作都会与 SecurityManager 交互，且它管理着所有的Subject，可以看出它是 Subject 的核心，他负责与后面介绍的其它组件进行交互，如果学习过SpringMVC，我们可以把它看成 DispatchServlet 前端控制器；
3）Realm：域。Shiro 从 Realm 获取安全数据（如用户、角色、权限），就是说 SecurityManager 要验证身份，那么它需要从 Realm 获取相应的用户进行比较以确定用户身份是否合法，也需要从 Realm 得到用户相应的角色/权限进行验证用户是否能进行操作。我们可以把 Realm 看成是 DataSource，即安全数据源
Shiro 运行原理图2（Shiro 内部架构角度）如下：
Shiro基础
1）Subject：主体，可以看到主体可以是任何与应用交互的"用户";
2）SecurityManager：相当于 SpringMVC 中的 DispatcherServlet 或者 Struts2 中的 FilterDispatcher。它是 Shiro 的核心，所有具体的交互都通过 SecurityManager 进行控制。它管理着所有 Subject、且负责进行认证和授权、及会话、缓存的管理；
3）Authenticator：认证器，负责主体认证的，这是一个扩展点，如果用户觉得Shiro 默认的不好，我们可以自定义实现，其需要认证策略（Authentication Strategy），即什么情况下算用户认证通过了；
4）Authorizer：授权器，或者访问控制器。它用来决定主体是否有权限进行相应的操作，即控制着用户能访问应用中的哪些功能；
5）Realm：可以有一个或多个 Realm，可以认为是安全实体数据源，即用于获取安全实体的。它可以是JDBC实现，也可以是LDAP实现，或者内存实现等；
6）SessionManager：如果写过 Servlet 就应该知道 Session 的概念，Session 需要有人去管理它的生命周期，这个组件就是 SessionManager。而 Shiro 并不仅仅可以用在 Web 环境，也可以用在如普通的 JavaSE 环境；
7）SessionDAO：DAO大家都用过，数据访问对象，用于会话的CRUD，我们可以自定义 SessionDAO的实现，控制Session的存储位置。如通过JDBC写到数据库或者通过jedis 写入 redis中，另外 SessionDAO 中可以使用 Catch 进行缓存，以提高性能；
8）CatcheManager：缓存管理器。它用来管理用户、角色、权限等的缓存的。因为这些数据基本上很少变，放到缓存中可以提高性能；
9）Cryptography：密码模块，Shiro提高了一些常见的加密组件用于密码加密/解密的。

2.3过滤器

当 Shrio 被运用到 Web 项目时，会自动创建一些默认的过滤器对客户端请求进行过滤。以下时Shiro 提供的过滤器

过滤器简称	对应的 Java 类
anon	org.apache.shiro.web.filter.authc.AnonymousFilter
authc	org.apache.shiro.web.filter.authc.FormAuthenticationFilter
authBasic	org.apache.shiro.web.filter.authc.BasicHttpAuthenticationFilter
perms	org.apache.shiro.web.filter.authz.PermissionsAuthorizationFilter
port	org.apache.shiro.web.filter.authz.PortFilter
rest	org.apache.shiro.web.filter.authz.HttpMethodPermissionFilter
roles	org.apache.shiro.web.filter.authz.RolesAuthorizationFilter
ssl	org.apache.shiro.web.filter.authz.SslFilter
user	org.apache.shiro.web.filter.authc.UserFilter
logout	org.apache.shiro.web.filter.authc.LogoutFilter
noSessionCreation	org.apache.shiro.web.filter.session.NoSessionCreationFilter

/admins/**=anon               # 表示该 uri 可以匿名访问
/admins/**=auth               # 表示该 uri 需要认证才能访问
/admins/**=authcBasic         # 表示该 uri 需要 httpBasic 认证
/admins/**=perms[user:add:*]  # 表示该 uri 需要认证用户拥有 user:add:* 权限才能访问
/admins/**=port[8081]         # 表示该 uri 需要使用 8081 端口
/admins/**=rest[user]         # 相当于 /admins/**=perms[user:method]，其中，method 表示  get、post、delete 等
/admins/**=roles[admin]       # 表示该 uri 需要认证用户拥有 admin 角色才能访问
/admins/**=ssl                # 表示该 uri 需要使用 https 协议
/admins/**=user               # 表示该 uri 需要认证或通过记住我认证才能访问
/logout=logout                # 表示注销,可以当作固定配置

注意:

anon，authcBasic，auchc，user 是认证过滤器。
perms，roles，ssl，rest，port 是授权过滤器。

三、基础入门

3.1添加依赖

<dependency>
    <groupId>commons-logging</groupId>
    <artifactId>commons-logging</artifactId>
    <version>1.1.3</version>
</dependency>

<dependency>
    <groupId>org.apache.shiro</groupId>
    <artifactId>shiro-core</artifactId>
    <version>1.4.0</version>
</dependency>

3.2配置文件

在 src/main/resources 目录下创建名为 shiro.ini 的配置文件，内容如下：

[users]
# admin=admin 分别表示账号和密码，administrator 表示逗号前边的账号拥有 administrator 这个角色。
admin=admin,administrator
zhangsan=zhangsan,manager
lisi=lisi,guest

[roles]
# administrator 表示角色名称，* 表示这个角色拥有所有权限
administrator=*
manager=user:*,department:*
guest:user:query,department:update