通过JavaSE,创建不同的 realm ，由简单到复杂一步步的深入的理解shiro完成认证与授权内在联系
推荐从下向上一步步的测试，每一个方法都有详细的注释，说明 从哪里来-->到哪里去，理清其中的前因后果
简单点的一下用户， 角色与权限之间的关系
一个用户可以拥有某种角色或者身份，身份或者角色代表一种或多种权限
一个用户可以拥有一种或多种权限，
我理解为 角色或身份 做为用户的一个属性 来封装权限。用户最好不要直接拥有权限，而是作为某种角色拥有角色封装的权限
package test; import com.alibaba.druid.pool.DruidDataSource;
import org.apache.shiro.SecurityUtils;
import org.apache.shiro.authc.*;
import org.apache.shiro.authc.credential.HashedCredentialsMatcher;
import org.apache.shiro.authz.AuthorizationInfo;
import org.apache.shiro.authz.SimpleAuthorizationInfo;
import org.apache.shiro.mgt.DefaultSecurityManager;
import org.apache.shiro.realm.AuthorizingRealm;
import org.apache.shiro.realm.SimpleAccountRealm;
import org.apache.shiro.realm.jdbc.JdbcRealm;
import org.apache.shiro.realm.text.IniRealm;
import org.apache.shiro.subject.PrincipalCollection;
import org.apache.shiro.subject.Subject;
import org.apache.shiro.util.ByteSource;
import org.junit.Before;
import org.junit.Test; import java.util.HashSet;
import java.util.Set; public class TestShiro { /**
* 自定义一个域与业务层交互获取数据，真实数据的来源于业务层方法的调用，在域内定义 认证或者授权的方法
*/
class CustomRealm extends AuthorizingRealm{ /**
* @param principals 与认证方法中返回的info或者本域有关
* @return
*/
@Override
protected AuthorizationInfo doGetAuthorizationInfo(PrincipalCollection principals) {
//从指定的域中获取subject提交过来的token，在认证方法中 参数1与本域进行关联，在这里取出，强转原参数1的类型
//与这个本域关联的主题可能不止一个，.fromRealm（）返回的集合，进行迭代后，获取。
User user=(User)principals.fromRealm(this.getClass().getName()).iterator().next();
String roleName = roleService.findRoleNameByUserName(user.getUsername);
Set<String> perms = new HashSet<>();//用于存储 权限
perms.add("权限1");//权限也是从数据库中查询出来的，这里直接手写
perms.add("权限2");//权限是一种规范，目的用于判断的时候进行区别
perms.add("权限3");//规范：user：list user：delete 词能达意，对用户的查看权限，对用户的删除权限。
SimpleAuthorizationInfo info = new SimpleAuthorizationInfo();//把角色和权限封装为内部属性的pojo类
info.addRole(roleName);
info.setStringPermissions(perms);
return info;
}
/**
* @param token controller层，根据当前用户 生成的 token 用来在这里与真实数据进行认证
* @return
* @throws AuthenticationException
*/
@Override
protected AuthenticationInfo doGetAuthenticationInfo(AuthenticationToken token) throws AuthenticationException {
String login_userName = (String) token.getPrincipal();//返回controller层 subject.login（）参数token中的username属性
char[] password = (char[]) token.getCredentials();//这个token就是前面传的token ，在token内部用 string存uusername char[]存password
String login_pwd = new String(password);//把 char数组类型转为字符串。 //通过前台传送的token的username,调用自定义的业务成接口在数据库中查找,以username为用户名的用户信息
User db_user=userService.fingUserByName(login_userName); //把数据库中查出来的信息，放入到info中以后，shiro会把数据库中的信息，与登录时生成的AuthenticationToken中的token进行比较，并把参数1与域进行关联。这个参数1可以在授权方法中获取
//参数1：数据库中查询的真实数据，也属于域中的数据（一般为认证时需要用的数据） 参数2：密码，用于验证登录时token中的凭据 参数3：域的名称
SimpleAuthenticationInfo info = new SimpleAuthenticationInfo(db_user, db_user.getPassword(), this.getClass().getName());
info.setCredentialsSalt(ByteSource.Util.bytes("盐值"));//每个用户的盐值都不一样，一般为数据库中查出来的， info根据额外的数据对 token中的密码进行处理后再进行匹配
return info;
}
}
//自定义一个域，自定义认证的方式，授权的方式，
private CustomRealm customRealm = new CustomRealm();
/*该方法中，注册的自定义域中的方法需要与业务层进行配合，在数据库中进行查找，这里测试时失败的重点，从下往上，对不同的域一个个分析，理解shiro认证，授权的原理 核心*/
@Test
public void testCustomRealm() {
DefaultSecurityManager securityManager = new DefaultSecurityManager();
securityManager.setRealm(customRealm);
SecurityUtils.setSecurityManager(securityManager);
Subject subject = SecurityUtils.getSubject();
UsernamePasswordToken token = new UsernamePasswordToken("喜欢与改变", "admin");
HashedCredentialsMatcher matcher = new HashedCredentialsMatcher();//密码比较器,在CustomRealm重写的认证方法中的SimpleAuthenticationInfo这个对象
// 会对token中的密码根据密码比较器运算后数据库中的密码比较。数据库中的密码，也是这个比较器处理过的
matcher.setHashAlgorithmName("md5");//密码进行散列的方式
matcher.setHashIterations(2);//散列次数，还有一个盐值，在CustomRealm中指定
try {
subject.login(token);
System.out.println("成功");
} catch (UnknownAccountException e) {
System.out.println("用户名错误");
} catch (AuthenticationException e) {
System.out.println("认证失败");
}
} //把数据库作为数据域，需要给Realm一个连接的数据库的数据源
private JdbcRealm jdbcRealm = new JdbcRealm();
private DruidDataSource dataSource = new DruidDataSource();//连接数据库的数据源
@Before
public void druid() {//配置数据源数据并注入数据源
dataSource.setUrl("jdbc:mysqljdbc://localhost/3306/数据库");
dataSource.setUsername("root");
dataSource.setUsername("");
dataSource.setDriverClassName("com.mysql.jdbc.Driver");
jdbcRealm.setDataSource(dataSource);
}
/**
* 认证 数据库中的数据作为域。真实的开发中，一般把真实的用户数据放在数据库，通过当前用户的 username 到数据库中查询 对应的 password
* 把登录的密码与查询的密码进行比较（是否存在密码散列，对登录密码进一步操作后再比较）。登录成功，把用户信息，放在shiro的Session。
*/
@Test
public void testJdbcRealm() {
String sql = "select password from t_user where username= ?";
jdbcRealm.setAuthenticationQuery(sql);//jdbc有默认的查询表格与对应的字段，可以手动设置，符合数据库结构的SQL语句 DefaultSecurityManager securityManager = new DefaultSecurityManager();
securityManager.setRealm(jdbcRealm);
SecurityUtils.setSecurityManager(securityManager);
Subject subject = SecurityUtils.getSubject();
UsernamePasswordToken token = new UsernamePasswordToken("喜欢与改变","admin");
try {
subject.login(token);//shiro根据token与指定的SQL语句。和查出来的数据进行操作
System.out.println("认证成功"); } catch (UnknownAccountException e) {
System.out.println("用户名错误");
} catch (AuthenticationException e) {
System.out.println("认证失败"); }
} //把ini配置文件作为一个域，ini配置文件相当于数据库存储真实数据，IniRealm根据ini文件的中的信息，对当前用户进行认证与授权
private IniRealm iniRealm = new IniRealm("classpath:authenticator.ini");
/**
* 认证。把ini配置文件作为域
*/
@Test
public void testIniRealm() {
DefaultSecurityManager securityManager = new DefaultSecurityManager();
securityManager.setRealm(iniRealm);
SecurityUtils.setSecurityManager(securityManager);
Subject subject = SecurityUtils.getSubject();
UsernamePasswordToken token = new UsernamePasswordToken("喜欢与改变", "admin");
try {
subject.login(token);//认证在IniRealm中（认证方法的中的接受参数的对象中）进行
System.out.println("认证成功");
System.out.println("是否有角色xxx"+subject.hasRole("superadmin"));
System.out.println("是否有角色yyy"+subject.hasRole("normal"));
subject.checkPermission("巨无霸");
System.out.println("当前用户拥有 巨无霸 权限");
} catch (UnknownAccountException e) {
System.out.println("用户名错误");
} catch (AuthenticationException e) {
System.out.println("认证错误");
}
} //在controller层的写法一般是固定的，创建一个shiro核心控制器，给控制器注入域对象，并把控制器放到工具类中便于使用，从工具类中的获取一个subject对象
//根据前台传来的岩心信息，生成一个token（令牌），放到subject.login()中，subject会保存这个令牌，进入核心控制器，核心控制器根据自己管理的（例，注入进来的域）对象，执行login（）相关的操作
//认证成功，可以继续执行下一步操作，我们一般对subject进行操作，查看这个用户的角色，拥有的权限等。这些信息，login（）是核心控制器，已经完成了认证与授权 //一个简单域（shiro自带的）,用户传来数据 ，跟域中获取的数进行验证。（域相当于数据源）
private SimpleAccountRealm realm = new SimpleAccountRealm();
/**
* 给域添加用户数据
*/
@Before
public void before() {
realm.addAccount("喜欢与改变","admin");
}
/**
* Authenticator 认证器
* 认证 简单的域
*/
@Test
public void textAuthenticator() {
//1、创建shiro环境：shiro是核心控制器
DefaultSecurityManager securityManager = new DefaultSecurityManager();
//2、给核心控制器 注入域对象---->在认证过程中，存储安全数据（真实的用户信息，就是从这里获取数据和登录的进行验证）
securityManager.setRealm(realm);
SecurityUtils.setSecurityManager(securityManager);//把核心管理器放到工具类中
//3、主体认证，会将认证委托给SecurityManager
Subject subject = SecurityUtils.getSubject(); //根据当前用户的信息生成一个token（令牌对象），用于让shiro进行验证
UsernamePasswordToken token = new UsernamePasswordToken("喜欢与改变", "dmin");
//执行认证
try {
subject.login(token);//shiro拿着token在realm中进行认证（realm可以自定义，再注册进来使用），认证失败抛出异常，根据抛出的异常可知道错误的范围
} catch (UnknownAccountException e) {//用户名不匹配时抛出异常（还有别的异常类型，用是再查）
System.out.println("当前信息不存在");
} catch (AuthenticationException e) {//认证失败时抛出异常
//e.printStackTrace();
System.out.println("认证失败");
}
}
}
ini配置文件说明
[users]
zs=123,admin
lisi=123,normal
[roles]
admin=user:insert,user:delete,user:list
normal=user:list
//下面是注释。
users 账户=密码，角色（多个角色用逗号隔开）
roles 角色=角色拥有的权限（多个权限用逗号隔开）
角色拥有的权限，user：insert是一种规范，词能达意，用户的添加权限