shiro知识点整理

一、 什么是shiro

shiro是一个强大易用的安全框架，提供了认证、授权、加密、会话管理、与web集成、缓存等功能，对于任何一个应用程序，都可以提供全面的安全服务，相比其他安全框架，shiro要简单的多。

三个核心组件：Subject, SecurityManager 和 Realms

1、subject

Subject即主体，外部应用与subject进行交互，subject记录了当前操作用户，将用户的概念理解为当前操作的主体，可能是一个通过浏览器请求的用户，也可能是一个运行的程序。 Subject在shiro中是一个接口，接口中定义了很多认证授相关的方法，外部程序通过subject进行认证授，而subject是通过SecurityManager安全管理器进行认证授权

2、SecurityManager

securityManager即安全管理器，对全部的subject进行安全管理，它是shiro的核心，负责对所有的subject进行安全管理。通过SecurityManager可以完成subject的认证、授权等，实质上SecurityManager是通过Authenticator进行认证，通过Authorizer进行授权，通过SessionManager进行会话管理等。

3、Realm

Realm充当了Shiro与应用安全数据间的“桥梁”或者“连接器”。也就是说，当对用户执行认证（登录）和授权（访问控制）验证时，Shiro会从应用配置的Realm中查找用户及其权限信息。

从这个意义上讲，Realm实质上是一个安全相关的DAO：它封装了数据源的连接细节，并在需要时将相关数据提供给Shiro。当配置Shiro时，你必须至少指定一个Realm，用于认证和（或）授权。配置多个Realm是可以的，但是至少需要一个。

二、shiro框架的核心功能

1、Authentication 身份认证
身份认证/登录，验证用户是不是拥有相应的身份；

1、收集用户身份/凭证
2、调用 Subject.login 进行登录
3、创建自定义的 Realm类,继承 org.apache.shiro.realm.AuthorizingRealm 类，实现 doGetAuthenticationInfo() 方法
4、提供 principals （身份）和 credentials（证 明）给 shiro，从而应用能验证用户身份

2、Authorization 授权

授权，即权限验证，验证某个已认证的用户是否拥有某个权限；即判断用户是否能做事情，常见的如：验证某个用户是否拥有某个角色。或者验证某个用户对某个资源是否具有某个权限

3、sessionManager

会话管理，即用户登录后就是一次会话，在没有退出之前，它的所有信息都在会话中；会话可以是普通 JavaSE 环境的，也可以是如 Web 环境的；
它不依赖web容器的session，所以shiro可以使用在非web应用上，也可以将分布式应用的会话集中在一点管理，此特性可使它实现单点登录。

4、CacheManager
CacheManager即缓存管理，将用户权限数据存储在缓存，这样可以提高性能。

比如用户登录后，其用户信息、拥有的角色/权限不必每次去查，这样可以提高效率；

5、Cryptography
Cryptography即密码管理，shiro提供了一套加密/解密的组件，方便开发。比如提供常用的散列、加/解密等功能。

加密，保护数据的安全性，如密码加密存储到数据库，而不是明文存储

6、session DAO
提供了session的增删改插

7、Web Support

Web 支持，可以非常容易的集成到 Web 环境；

8、Remember Me

记住我，这个是非常常见的功能，即一次登录后，下次再来的话不用登录。
记住一点，Shiro 不会去维护用户、维护权限；这些需要我们自己去设计/提供；然后通过相应的接口注入给 Shiro 即可

三、Shiro的优点

简单的身份认证，支持多种数据源

非常简单的加密API

对角色的简单的授权，支持细粒度的授权（方法级）

支持一级缓存，以提升应用程序的性能

内置的基于POJO企业会话管理，适用于Web以及非Web的环境

不跟任何的框架或者容器捆绑，可以独立运行

四、比较Spring Security和Apache Shiro

相比Spring Security，Shiro在保持强大功能的同时，使用简单性和灵活性

Spring Security：即便是一个一个简单的请求，最少得经过它的8个Filter

Spring Security必须在Spring的环境下使用

初学Spring Security，曲线还是较大，需要深入学习其源码呵呵框架，配置起来也较费力