-
Shiro简介
-
简介：
-
Apache Shiro 是Java的一个安全(权限)框架。Shiro可以非常容易的开发出足够好的应用，其不仅可以用在JavaSE环境，也可以用在JavaEE环境。Shiro可以完成：认证、授权、加密、会话管理、与Web集成、缓存等。相对于SpringSecurity简单得多，也没有SpringSecurity那么复杂。
-
-
shiro架构：
-
-
-
- 功能模块
- Subject：主体，一般指用户(把操作交给Security Manager)。
- SecurityManager：相当于SpringMVC中的DispacherServlet；是Shiro的心脏；所有具体的交互都通过SecurityManager进行控制；它管理着所有Subjecy、且负责进行认证、授权、会话、及缓存的管理。
- Realm：可以有1个或多个Realm，可以认为是安全实体数据源，即用于获取安全实体的。用于进行权限信息的验证，shiro链接数据的桥梁，可以是JDBC实现，或者LDAP实现，或者内存实现等待；注意：Shiro不知道你的用户/权限存储在哪及以何种格式存储；所以我们一般在应用中都需要实现自己的Realm；注意：对Subject进行认证和授权都需要调用realm，所以realm不仅仅相当于数据源，更加包含了认证和授权的一种逻辑。
- Authenricator：认证器，主要对Subject进行认证，Subject的信息在shiro中是通过AuthenticationToken对象来存储，由AuthenricationStrategy进行验证管理。如果用户觉得shiro默认的不好，可以自定义实现；其需要认证策略(AuthenticationStrategy)，即什么情况下算用户认证通过了；
- Authorizer：授权器，Subject认证后，由它来对其授予对应角色权限，即控制着用户能访问应用中的那些功能；
- SessionManager：shiro的session管理方式，shiro提供了一个专门管理session的方式，通常的web程序中session是HttpSession的对象，是由web容器来管理的。如果写过Servlet就应该知道Session的概念，Session需要有人去管理它的生命周期，这个组件就是SessionManager；而shiro并不仅仅可以用在Web环境，也可以用在JavaSE、EJB等环境；所以，shiro就抽象了一个自己的Session来管理主体与应用之间交互的数据；这样的话，比如我们在Web环境用，刚开始是一台Web服务器；接着又上了台EJB服务器；这时想把两台服务器的会话数据放到一个地方，这个时候就可以实现自己的分布式会话(如把数据放到Memcached服务器)；
- SessionDao：DAO大家都用过，数据访问对象，用于会话的CRUD，比如我们想把Session保存到数据库，那么可以实现自己的SessionDAO，通过如JDBC写到数据库；比如想把session放到Memcached中，可以实现自己的Memcached SessionDAO;另外SessionDAO中可以使用Cache进行缓存，以提高性能；
- CacheManager：缓存控制器，来管理如用户、角色、权限等的缓存；因为这些数据基本上很少去改变，放到缓存中可以提高访问的性能，减小数据库的访问压力，也可以通过和ehcache的整合对缓存数据进行管理。
- Cryptography：密码模块，一个密码管理工具，提供了一套加密/解密组件。比如常用的散列，加/解密等功能，日常联系所使用的md5算法其实是一种散列算法，自能加密，不能解密。
-
- 细节功能
- Authentication：身份认证/登录，验证用户是否拥有相应的身份(账号密码验证)
- Authorization：授权，验证某个已认证的用户是否拥有某权限。
- Session Manager：会话管理，用户登陆后，用户信息保存在session会话中。
- Cryptography：加密保护数据的安全性，如密码加密存储到数据库，而不是明文存储。
- Web Support：Web支持，集成Web环境。
- Caching：缓存，用户信息、角色、权限等缓存到如redis等缓存中。
- Concurrency：多线程并发验证，在一个线程中开启另一个线程，可以把权限自动传播过去。
- Testing：测试支持；
- Run As：允许一个用户假装为另一个用户(如果他们同意)的身份进行访问。
- Remember Me：记住我，登陆后，下次再来的话不用登录了。
- 功能模块
-