一、shiro简介
shiro是apache旗下一个开源框架，它将软件系统的安全认证相关的功能抽取出来，实现用户身份认证、权限授权、加密、会话管理等功能，组成了一个通用的安全认证框架。
以下是你可以用 Apache Shiro所做的事情:
(1)验证用户。
(2)对用户执行访问控制，如: 判断用户是否拥有角色admin，判断用户是否拥有访问的权限。
(3)在任何环境下使用Session API。例如CS程序。
(4)可以使用多个用户数据源。例如一个是oracle用户库，另外一个是mysql用户库。
(5)单点登录(SSO)功能。
(6)"Remember Me"服务，类似购物车的功能，shiro官方建议开启。
二、shiro架构
(1)Subject
Subject 是与程序进行交互的对象，可以是人也可以是服务或者其他，通常就理解为用户。
所有Subject 实例都必须绑定到一个SecurityManager上。我们与一个 Subject 交互，运行时shiro会自动转化为与 SecurityManager交互的特定 subject的交互。
Subject在shiro中是一个接口，接口中定义了很多认证授权相关的方法，外部程序通过subject进行认证授，而subject是通过SecurityManager安全管理器进行认证授权。
(2)SecurityManager
SecurityManager即安全管理器，对全部的subject进行安全管理，它是shiro的核心，负责对所有的subject进行安全管理。通过SecurityManager可以完成subject的认证、授权等，实质上SecurityManager是通过Authenticator进行认证，通过Authorizer进行授权，通过SessionManager进行会话管理等。
SecurityManager是一个接口，继承了Authenticator, Authorizer, SessionManager这三个接口。
(3)Authenticator
Authenticator即认证器，对用户身份进行认证，Authenticator是一个接口，shiro提供ModularRealmAuthenticator实现类，通过ModularRealmAuthenticator基本上可以满足大多数需求，也可以自定义认证器。
(4)Authorizer
Authorizer即授权器，用户通过认证器认证通过，在访问功能时需要通过授权器判断用户是否有此功能的操作权限。
(5)Realm
Realm即领域，相当于datasource数据源，securityManager进行安全认证需要通过Realm获取用户权限数据，比如：如果用户身份数据在数据库那么realm就需要从数据库获取用户身份信息。
注意：不要把realm理解成只是从数据源取数据，在realm中还有认证授权校验的相关的代码。
(6)sessionManager
sessionManager即会话管理，shiro框架定义了一套会话管理，它不依赖web容器的session，所以shiro可以使用在非web应用上，也可以将分布式应用的会话集中在一点管理，此特性可使它实现单点登录。
(7)SessionDAO
SessionDAO即会话dao，是对session会话操作的一套接口，比如要将session存储到数据库，可以通过jdbc将会话存储到数据库。
(8)CacheManager
CacheManager即缓存管理，将用户权限数据存储在缓存，这样可以提高性能。
(9)Cryptography
Cryptography即密码管理，shiro提供了一套加密/解密的组件，方便开发。比如提供常用的散列、加/解密等功能。
三、基本程序
1.认证流程
2.入门程序
(1)工程架构
(2)shiro-first.ini
通过shiro-first.ini配置文件初始化SecurityManager环境。
(3)代码实现
public class AuthenticationTest{
// 用户登录和退出
@Test
public void testLogin(){
// 创建SecurityManager工厂，通过init配置文件构造
IniSecurityManagerFactory factory = new IniSecurityManagerFactory("classpath:shiro-first.ini");
// 创建SecurityManager
SecurityManager securityManager = factory.createInstance();
// 将SecurityManager设置到当前运行环境
SecurityUtils.setSecurityManager(securityManager);
// 从SecurityUtils里创建Subject
Subject subject = SecurityUtils.getSubject();
// 认证提交前准备token
UsernamePasswordToken token = new UsernamePasswordToken("zhangsan","123");
try{
// 执行认证提交
subject.login(token);
}catch(Exception e){
e.printStackTrace();
}
// 是否认证通过
boolean isAuthenticated = subject.isAuthenticated();
System.out.println("是否认证通过: " + isAuthenticated);
// 退出操作
subject.logout();
isAuthenticated = subject.isAuthenticated();
System.out.println("是否认证通过: " + isAuthenticated);
}
}
结果:
是否认证通过: true
是否认证通过: false
(4)认证流程
1、通过ini配置文件创建securityManager。
2、调用subject.login方法主体提交认证，提交的token。
3、securityManager进行认证，securityManager最终由ModularRealmAuthenticator进行认证。
4、ModularRealmAuthenticator调用IniRealm(给realm传入token) 去ini配置文件中查询用户信息。
5、IniRealm根据输入的token(UsernamePasswordToken)从shiro-first.ini查询用户信息，根据账号查询用户
信息(账号和密码)如果查询到用户信息，就给ModularRealmAuthenticator返回用户信息(账号和密码)如果查
询不到，就给ModularRealmAuthenticator返回null。
6、ModularRealmAuthenticator接收IniRealm返回Authentication认证信息如果返回的认证信息是null，
ModularRealmAuthenticator抛出异常(org.apache.shiro.authc.UnknownAccountException)如果返回的认
证信息不是null(说明inirealm找到了用户)，对IniRealm返回用户密码(在ini文件中存在)和 token中的密码进行对
比，如果不一致抛出异常(org.apache.shiro.authc.IncorrectCredentialsException)。
三、自定义Realm
1.自定义Realm代码实现
/*
* 自定义Realm
*/
public class CustomRealm extends AuthorizingRealm{ //设置Realm名称
@Override
public void setName(String name){
super.setName("customRealm");
} //用于认证
@Override
protected AuthenticationInfo doGetAuthenticationInfo(AuthenticationToken token) throws AuthenticationException{ //1.从token取出用户身份信息
String userCode = (String)token.getPrincipal(); //2.根据用户userCode查询数据库
//模拟从数据库查询到的密码
String password = "123"; //查询不到返回null //查询到返回认证信息
SimpleAuthenticationInfo authenticationInfo = new SimpleAuthenticationInfo(userCode,password,this.getName()); return authenticationInfo;
} //用于授权
@Override
protected AuthorizationInfo doGetAuthorizationInfo(PrincipalCollection principals){ return null;
} }
2.配置Realm
3.测试代码
// 用户登录和退出
@Test
public void testCustomRealm(){ // 创建SecurityManager工厂，通过init配置文件构造
IniSecurityManagerFactory factory = new IniSecurityManagerFactory("classpath:shiro-realm.ini"); // 创建SecurityManager
SecurityManager securityManager = factory.createInstance(); // 将SecurityManager设置到当前运行环境
SecurityUtils.setSecurityManager(securityManager); // 从SecurityUtils里创建Subject
Subject subject = SecurityUtils.getSubject(); // 认证提交前准备token
UsernamePasswordToken token = new UsernamePasswordToken("zhangsan","123"); try{
// 执行认证提交
subject.login(token);
}catch(Exception e){
e.printStackTrace();
} // 是否认证通过
boolean isAuthenticated = subject.isAuthenticated(); System.out.println("是否认证通过: " + isAuthenticated); // 退出操作
subject.logout(); isAuthenticated = subject.isAuthenticated();
System.out.println("是否认证通过: " + isAuthenticated);
}