import org.apache.shiro.subject.Subject;
import org.apache.shiro.SecurityUtils;
...
Subject currentUser = SecurityUtils.getSubject();　　

　　获得Subject后，您可以立即访问当前用户希望使用Shiro执行的所有操作的90％，例如登录，注销，访问其会话，执行授权检查等等 - 但稍后会详细介绍。这里的关键点是Shiro的API在很大程度上是直观的，因为它反映了开发人员在“每个用户”安全控制中思考的自然趋势。在代码中的任何位置访问主题也很容易，允许在任何需要的地方进行安全操作。

SecurityManager

　　Subject的“幕后”对应物是SecurityManager。当Subject表示当前用户的安全操作时，SecurityManager管理所有用户的安全操作。它是Shiro架构的核心，充当一种“伞形”对象，引用许多形成对象图的内部嵌套安全组件。但是，一旦配置了SecurityManager及其内部对象图，通常会将其保留，应用程序开发人员几乎将所有时间花在Subject API上。　　那么如何设置SecurityManager？那么，这取决于您的应用程序环境。例如，Web应用程序通常会在web.xml中指定Shiro Servlet Filter，并设置SecurityManager实例。如果您正在运行独立应用程序，则需要以另一种方式进行配置。但是有很多配置选项。

import org.apache.shiro.SecurityUtils;
import org.apache.shiro.config.IniSecurityManagerFactory;
import org.apache.shiro.mgt.SecurityManager;
import org.apache.shiro.util.Factory;

...

//1. Load the INI configuration
Factory<SecurityManager> factory =
new IniSecurityManagerFactory("classpath:shiro.ini");

//2. Create the SecurityManager
SecurityManager securityManager = factory.getInstance();

//3. Make it accessible
SecurityUtils.setSecurityManager(securityManager);

　　在上面代码中，我们在这个简单的示例中看到了一个包含三个步骤的过程：

• 加载将配置SecurityManager及其组成组件的INI配置。
• 根据配置创建SecurityManager实例（使用代表工厂方法设计模式的Shiro工厂概念）。
• 使应用程序可以访问SecurityManager单例。 在这个简单的示例中，我们将其设置为VM静态单例，但这通常不是必需的 - 您的应用程序配置机制可以确定您是否需要使用静态内存。

Realms

　　Shiro的第三个也是最后一个核心概念是一个领域。 Realm充当Shiro与应用程序安全数据之间的“桥接”或“连接器”。也就是说，当实际与安全相关的数据（如用户帐户）进行交互以执行身份验证（登录）和授权（访问控制）时，Shiro会从为应用程序配置的一个或多个领域中查找许多这些内容。
　　从这个意义上讲，Realm本质上是一个特定于安全性的DAO：它封装了数据源的连接细节，并根据需要使相关数据可用于Shiro。配置Shiro时，必须至少指定一个Realm用于身份验证和/或授权。可以配置多个Realm，但至少需要一个。
　　Shiro提供了开箱即用的领域，可以连接到许多安全数据源（也称为目录），如LDAP，关系数据库（JDBC），文本配置源（如INI和属性文件等）。如果默认域不符合您的需要，您可以插入自己的Realm实现来表示自定义数据源。下面的清单4是配置Shiro（通过INI）将LDAP目录用作应用程序领域之一的示例。

[main]
ldapRealm = org.apache.shiro.realm.ldap.JndiLdapRealm
ldapRealm.userDnTemplate = uid={0},ou=users,dc=mycompany,dc=com
ldapRealm.contextFactory.url = ldap://ldapHost:389
ldapRealm.contextFactory.authenticationMechanism = DIGEST-MD5

　　现在我们已经了解了如何设置基本的Shiro环境，让我们讨论一下，作为开发人员，您将如何使用该框架。

认证

　　身份验证是验证用户身份的过程。 也就是说，当用户使用应用程序进行身份验证时，他们证明他们实际上是他们所说的人。 这有时也被称为“登录”。 这通常是一个三步过程。

• 收集用户的标识信息，称为主体，并支持身份证明，称为凭证。
• 将主体和凭据提交给系统。
• 如果提交的凭据与系统对该用户标识（主体）的期望值匹配，则认为该用户已通过身份验证。 如果它们不匹配，则不会将用户视为已通过身份验证。

　　每个人都熟悉的这个过程的一个常见例子是用户名/密码组合。 当大多数用户登录软件应用程序时，他们通常会提供用户名（主体）和支持密码（凭证）。 如果存储在系统中的密码（或其表示）与用户指定的密码匹配，则认为它们已经过身份验证。

　　Shiro以简单直观的方式支持相同的工作流程。 正如我们所说，Shiro有一个以Subject为中心的API - 几乎所有你在运行时用Shiro做的事都是通过与当前正在执行的Subject进行交互来实现的。 因此，要登录Subject，只需调用其登录方法，传递一个AuthenticationToken实例，该实例表示提交的主体和凭据（在本例中为用户名和密码）。 此示例如下面所示。

//1. Acquire submitted principals and credentials:
AuthenticationToken token =
new UsernamePasswordToken(username, password);

//2. Get the current Subject:
Subject currentUser = SecurityUtils.getSubject();

//3. Login:
currentUser.login(token);

　　如您所见，Shiro的API很容易反映出常见的工作流程。 您将继续将此简单性视为所有Subject操作的主题。 调用login方法时，SecurityManager将接收AuthenticationToken并将其分派给一个或多个已配置的Realms，以允许每个Realms根据需要执行身份验证检查。 每个领域都能够根据需要对提交的AuthenticationTokens做出反应。 但是如果登录尝试失败会发生什么？ 如果用户指定了错误的密码该怎么办？ 您可以通过对Shiro的运行时AuthenticationException作出反应来处理故障，如下所示。

//3. Login:
try {
    currentUser.login(token);
} catch (IncorrectCredentialsException ice) { …
} catch (LockedAccountException lae) { …
}
…
catch (AuthenticationException ae) {…
}

　　您可以选择捕获其中一个AuthenticationException子类并进行具体反应，或者通常处理任何AuthenticationException（例如，向用户显示通用的“不正确的用户名或密码”消息）。 根据您的应用要求，您可以选择。
　　在成功登录主题后，它们将被视为已通过身份验证，通常您允许它们使用您的应用程序。 但仅仅因为用户证明了他们的身份并不意味着他们可以在您的应用程序中做任何他们想做的事情。 这引出了下一个问题，“我如何控制允许用户做什么？”决定允许用户做什么称为授权。 我们将介绍Shiro如何启用授权。

授权

　　授权本质上是访问控制 - 控制用户可以在应用程序中访问的内容，例如资源，网页等。大多数用户通过使用角色和权限等概念来执行访问控制。 也就是说，通常允许用户基于分配给他们的角色和/或许可来做某事或不做某事。 然后，您的应用程序可以根据对这些角色和权限的检查来控制公开的功能。 正如您所料，Subject API允许您非常轻松地执行角色和权限检查。 例如，如下代码片段显示了如何检查Subject是否已分配了某个角色。

if ( subject.hasRole(“administrator”) ) {
    //show the ‘Create User’ button
} else {
    //grey-out the button?
}

　　如您所见，您的应用程序可以根据访问控制检查启用或禁用功能。
　　权限检查是执行授权的另一种方式。 如上例所示检查角色会遇到一个重大缺陷：您无法在运行时添加或删除角色。 您的代码使用角色名称进行了硬编码，因此如果更改了角色名称和/或配置，您的代码就会被破坏！ 如果您需要能够在运行时更改角色的含义，或者根据需要添加或删除角色，则必须依赖其他内容。
　　为此，Shiro支持其权限概念。 权限是一个原始的功能声明，例如“打开一扇门”，“创建一个博客条目”，“删除'jsmith'用户'等。通过拥有反映应用程序原始功能的权限，您只需要更改权限 更改应用程序的功能时检查。 反过来，您可以在运行时根据需要为角色或用户分配权限。

　　作为一个例子，如下面所示，我们可以重写之前的角色检查，而是使用权限检查。

if ( subject.isPermitted(“user:create”) ) {
    //show the ‘Create User’ button
} else {
    //grey-out the button?
}

　　这样，任何分配了“user：create”权限的角色或用户都可以单击“创建用户”按钮，这些角色和分配甚至可以在运行时更改，为您提供非常灵活的安全模型。
　　“user：create”字符串是遵循某些解析约定的权限字符串的示例。 Shiro通过WildcardPermission开箱即用，支持这种约定。 虽然超出了本介绍文章的范围，但您会看到WildcardPermission在创建安全策略时非常灵活，甚至支持实例级访问控制等内容。　　

if ( subject.isPermitted(“user:delete:jsmith”) ) {
    //delete the ‘jsmith’ user
} else {
    //don’t delete ‘jsmith’
}

　　此示例显示，如果需要，您甚至可以控制对非常细粒度的实例级别的访问。 如果您愿意，您甚至可以创建自己的权限语法。 有关更多信息，请参阅Shiro权限文档。 最后，就像身份验证一样，上述调用最终会转到SecurityManager，后者将咨询一个或多个Realms以做出访问控制决策。 这允许Realm根据需要响应身份验证和授权操作。
　　这是对Shiro授权功能的简要概述。 虽然大多数安全框架都停止了身份验证和授权，但Shiro提供了更多功能。 接下来我们将讨论Shiro的高级会话管理功能。　　

会话管理

　　Apache Shiro在安全框架领域提供了独特的功能：可在任何应用程序和任何架构层中使用的一致会话API。也就是说，Shiro为任何应用程序启用了会话编程范例 - 从小型守护程序独立应用程序到最大的集群Web应用程序。这意味着希望使用会话的应用程序开发人员不再需要使用Servlet或EJB容器，否则就不需要它们。或者，如果使用这些容器，开发人员现在可以选择在任何层中使用统一且一致的会话API，而不是servlet或EJB特定的机制。

　　但也许Shiro会话最重要的好处之一就是它们与容器无关。这具有微妙但极其强大的含义。例如，让我们考虑会话群集。有多少特定于容器的方法来集群会话以进行容错和故障转移？ Tomcat与Jetty的不同之处在于它与Websphere等不同。但是使用Shiro会话，您可以获得与容器无关的集群解决方案。 Shiro的体系结构允许可插入的Session数据存储，例如企业缓存，关系数据库，NoSQL系统等。这意味着您可以配置一次会话群集，无论您的部署环境如何，它都将以相同的方式工作 - Tomcat，Jetty，JEE Server或独立应用程序。无需根据部署应用程序的方式重新配置应用程序。
　　Shiro会话的另一个好处是会话数据可以根据需要在客户端技术之间共享。例如，如果需要，Swing桌面客户端可以参与相同的Web应用程序会话 - 如果最终用户同时使用两者，则会很有用。那么如何在任何环境中访问主题会话？有两种主题方法，如下例所示。

Session session = subject.getSession();
Session session = subject.getSession(boolean create);

　　如您所见，这些方法在概念上与HttpServletRequest API完全相同。 第一种方法将返回Subject的现有Session，如果还没有，它将创建一个新的并返回它。 第二种方法接受一个布尔参数，该参数确定是否将创建新的Session（如果它尚不存在）。 一旦你获得了主题的会话，你几乎可以使用它与HttpSession相同。 Shiro团队认为HttpSession API对Java开发人员来说是最舒适的，所以我们保留了很多感觉。 当然，最大的区别在于您可以在任何应用程序中使用Shiro Sessions，而不仅仅是Web应用程序。 清单11显示了这种熟悉程度。

Session session = subject.getSession();

session.getAttribute(“key”, someValue);
Date start = session.getStartTimestamp();
Date timestamp = session.getLastAccessTime();
session.setTimeout(millis);
...

加密

　　加密是隐藏或混淆数据的过程，因此窥探眼睛无法理解它。 Shiro在加密方面的目标是简化并使JDK的加密支持成为可能。
　　重要的是要注意密码学一般不是特定于受试者，因此它是Shiro API的一个非特定Subject的区域。 即使没有使用Subject，您也可以在任何地方使用Shiro的加密支持。 Shiro真正关注其加密支持的两个领域是加密哈希（也称为消息摘要）和加密密码。 让我们更详细地看一下这两个。

哈希

　　如果您使用过JDK的MessageDigest类，您很快就会意识到使用它有点麻烦。 它有一个笨拙的静态方法基于工厂的API而不是面向对象的API，你*捕获可能永远不需要捕获的已检查异常。 如果您需要十六进制编码或Base64编码消息摘要输出，您可以自己 - 没有标准的JDK支持。 Shiro使用简洁直观的散列API解决了这些问题。

　　例如，让我们考虑相对常见的MD5散列文件并确定该散列的十六进制值的情况。 称为“校验和”，在提供文件下载时会定期使用 - 用户可以在下载的文件上执行自己的MD5哈希，并声明其校验和与下载站点上的校验和匹配。 如果它们匹配，则用户可以充分地假设文件在传输中未被篡改。

　　如果没有Shiro，您可以尝试这样做：

• 将文件转换为字节数组。 JDK中没有任何内容可以帮助解决这个问题，因此您需要创建一个帮助方法来打开FileInputStream，使用字节缓冲区，并抛出相应的IOExceptions等。
• 使用MessageDigest类来散列字节数组，处理相应的异常，如下面的清单12所示。
• 将散列字节数组编码为十六进制字符。 JDK中没有任何东西可以帮助解决这个问题，因此您需要创建另一个辅助方法，并且可能在实现中使用按位运算和位移。

　　对于这么简单和相对常见的事情来说，这是一项重要的工作。 现在，这里是如何与Shiro完全相同的事情。

String hex = new Md5Hash(myFile).toHex();

　　当您使用Shiro简化所有工作时，它会变得非常简单和容易理解。 SHA-512哈希和密码的Base64编码同样简单。

String encodedPassword =
    new Sha512Hash(password, salt, count).toBase64();

　　您可以看到Shiro简化了散列和编码的程度，在此过程中为您节省了一些理智。

AesCipherService cipherService = new AesCipherService();
cipherService.setKeySize(256);

//create a test key:
byte[] testKey = cipherService.generateNewKey();

//encrypt a file’s bytes:
byte[] encrypted =
    cipherService.encrypt(fileBytes, testKey);

与JDK的Cipher API相比，Shiro示例更简单：

　　您可以直接实例化CipherService - 没有奇怪或令人困惑的工厂方法。
     　　密码配置选项表示为兼容JavaBeans的getter和setter - 没有奇怪且难以理解的“转换字符串”。
     　　加密和解密在单个方法调用中执行。
     　　没有强制检查异常。 如果你愿意，可以抓住Shiro的CryptoException。

<filter>
    <filter-name>ShiroFilter</filter-name>
    <filter-class>
        org.apache.shiro.web.servlet.IniShiroFilter
    </filter-class>
    <!-- no init-param means load the INI config
        from classpath:shiro.ini -->
</filter>

<filter-mapping>
     <filter-name>ShiroFilter</filter-name>
     <url-pattern>/*</url-pattern>
</filter-mapping>

[urls]
/assets/** = anon
/user/signup = anon
/user/** = user
/rpc/rest/** = perms[rpc:invoke], authc
/** = authc

<%@ taglib prefix="shiro"
    uri="http://shiro.apache.org/tags" %>
...
<p>Hello
<shiro:user>
    <!-- shiro:principal prints out the Subject’s main
        principal - in this case, a username: -->
    <shiro:principal/>!
</shiro:user>
<shiro:guest>
    <!-- not logged in - considered a guest. Show
        the register link: -->
    ! <a href=”register.jsp”>Register today!</a>
</shiro:guest>
</p>