浅谈Shiro

家好,我是IT修真院成都分院第7期的JAVA学员龚剑飞,一枚正直纯洁善良的java程序员。

今天给大家分享一下,一个比较好用的JAVA安全验证框架————Shiro。

1.背景介绍

先介绍下背景

Shiro是什么?

Apache Shiro(读作“sheeroh”,即日语“城”)是一个开源安全框架,提供身份验证、授权、密码和会话管理。Shiro框架直观、易用,同时也能提供健壮的安全性。

城:じょう、しろ

Shiro的产生背景:Shiro的前身是JSecurity。

2004年,Les Hazlewood和Jeremy Haile创办了Jsecurity。当时他们找不到适用于应用程序级别的合适Java安全框架,同时又对JAAS非常失望。2010年9月22日,Shrio成为Apache软件基金会的顶级项目(TLP)。

Java认证和授权服务(Java Authentication and Authorization Service,简称JAAS)是一个Java以用户为中心的安全框架,作为Java以代码为中心的安全的补充。自Java运行环境(JRE) 1.4起,JAAS就被集成到JRE,而之前是作为一个扩展库由Sun公司提供的。

2.知识剖析

Shiro的几个术语

Subject

SecurityManager

Relam

Role&Permission

Subject

Subject:主体,代表了当前“用户”,这个用户不一定是一个具体的人,与当前应用交互的任何东西都是Subject,如网络爬虫,机器人等;即一个抽象概念;所有Subject都绑定到SecurityManager,与Subject的所有交互都会委托给SecurityManager;可以把Subject认为是一个门面;SecurityManager才是实际的执行者;

SecurityManager

安全管理器;即所有与安全有关的操作都会与SecurityManager交互;且它管理着所有Subject;可以看出它是Shiro的核心,它负责与后边介绍的其他组件进行交互,如果学习过SpringMVC,你可以把它看成DispatcherServlet前端控制器;

Relam

Realm:域,Shiro从从Realm获取安全数据(如用户、角色、权限),就是说SecurityManager要验证用户身份,那么它需要从Realm获取相应的用户进行比较以确定用户身份是否合法;也需要从Realm得到用户相应的角色/权限进行验证用户是否能进行操作;可以把Realm看成DataSource,即安全数据源。

Role&Permission

角色与权限:一个角色可以对应多个权限。Shiro验证有两种方式。

3.常见问题

①、使用Shiro的好处是什么?

②、如何使用Shiro?

4.解决方案

①、Shiro可以使项目的验证架构更加完善,扩展性强

②、别说话,看我操作

5.编码实战(略)

6.扩展思考

提问:Shiro比拦截器好在什么地方?

:shiro的架构更健硕

提问:Shiro是如何进行身份验证的?

:Shiro的Relam里面有个钩子函数,当需要验证时,会回调那个钩子函数,通过与Relam里面存储的内容对比来验证

提问:Shiro和SpringSecurity有什么区别

:我只知道SpringSecurity的功能更多,配置也要复杂些,而且需要Spring-core至少在4.1.1以上


SpringSecurity,是Spring框架的一个分支,主要也是解决验证登录权限问题,可是需要Spring4.1以上的版本,无奈我们项目用的框架只支持低版本3.1.1.Release

今天的分享就到这里啦,欢迎大家点赞、转发、留言、拍砖~

技能树.IT修真院“我们相信人人都可以成为一个工程师,现在开始,找个师兄,带你入门,掌控自己学习的节奏,学习的路上不再迷茫”。

这里是技能树.IT修真院,成千上万的师兄在这里找到了自己的学习路线,学习透明化,成长可见化,师兄1对1免费指导。快来与我一起学习吧~我的邀请码:13869506,或者你可以直接点击此链接:http://www.jnshu.com/login/1/13869506

PPT地址:PPT

视频:


undefined_腾讯视频

你可能感兴趣的:(浅谈Shiro)