Shiro的内部结构
Subject：主体，可以看到主体可以是任何可以与应用交互的“用户”；
SecurityManager：相当于SpringMVC中的DispatcherServlet或者Struts2中的FilterDispatcher；是Shiro的心脏；所有具体的交互都通过SecurityManager进行控制；它管理着所有Subject、且负责进行认证和授权、及会 话、缓存的管理。
Authenticator：认证器，负责主体认证的，这是一个扩展点，如果用户觉得Shiro默认的不好，可以自定义实 现；其需要认证策略（Authentication Strategy），即什么情况下算用户认证通过了；
Authrizer：授权器，或者访问控制器，用来决定主体是否有权限进行相应的操作；即控制着用户能访问应用中的 哪些功能；
Realm：可以有1个或多个Realm，可以认为是安全实体数据源，即用于获取安全实体的；可以是JDBC实现，也可 以是LDAP实现，或者内存实现等等；由用户提供；注意：Shiro不知道你的用户/权限存储在哪及以何种格式存储； 所以我们一般在应用中都需要实现自己的Realm；
SessionManager：如果写过Servlet就应该知道Session的概念，Session呢需要有人去管理它的生命周期，这个 组件就是SessionManager；而Shiro并不仅仅可以用在Web环境，也可以用在如普通的JavaSE环境、EJB等环境； 所有呢，Shiro就抽象了一个自己的Session来管理主体与应用之间交互的数据；
SessionDAO：DAO大家都用过，数据访问对象，用于会话的CRUD，比如我们想把Session保存到数据库，那么可 以实现自己的SessionDAO，通过如JDBC写到数据库；比如想把Session放到Memcached中，可以实现自己的Memcached SessionDAO；另外SessionDAO中可以使用Cache进行缓存，以提高性能；
CacheManager：缓存控制器，来管理如用户、角色、权限等的缓存的；因为这些数据基本上很少去改变，放到 缓存中后可以提高访问的性能
Cryptography：密码模块，Shiro提高了一些常见的加密组件用于如密码加密/解密的。
应用程序使用Shiro
也就是说对于我们而言，最简单的一个Shiro应用：
1、应用代码通过Subject来进行认证和授权，而Subject又委托给SecurityManager；
2、我们需要给Shiro的SecurityManager注入Realm，从而让SecurityManager能得到合法的用户及其权限进行判断。
从以上也可以看出，Shiro不提供维护用户/权限，而是通过Realm让开发人员自己注入。
Shiro的入门
搭建基于ini的运行环境
（1）创建工程导入shiro坐标
<dependencies> <dependency> <groupId>org.apache.shiro</groupId> <artifactId>shiro-core</artifactId> <version>1.3.2</version> </dependency> <dependency> <groupId>junit</groupId> <artifactId>junit</artifactId> <version>4.12</version> <scope>test</scope> </dependency> </dependencies>
用户认证
认证：身份认证/登录，验证用户是不是拥有相应的身份。基于shiro的认证，是通过subject的login方法完成用户认证工作的
- 在resource目录下创建shiro的ini配置文件构造模拟数据（shiro-auth.ini）
[users] #模拟从数据库查询的用户 #数据格式 用户名=密码 zhangsan=123456 lisi=654321
- 测试用户认证
1. pacpackage cn.itcast.shiro; import org.apache.shiro.SecurityUtils; import org.apache.shiro.authc.UsernamePasswordToken; import org.apache.shiro.config.IniSecurityManagerFactory; import org.apache.shiro.subject.Subject; import org.apache.shiro.util.Factory; import org.apache.shiro.mgt.SecurityManager; import org.junit.Test; public class ShiroTest01 { /** * 测试用户认证： * 认证：用户登录 * * 1.根据配置文件创建SecurityManagerFactory * 2.通过工厂获取SecurityManager * 3.将SecurityManager绑定到当前运行环境 * 4.从当前运行环境中构造subject * 5.构造shiro登录的数据 * 6.主体登陆 */ @Test public void testLogin() { //1.根据配置文件创建SecurityManagerFactory Factory<SecurityManager> factory = new IniSecurityManagerFactory("classpath:shiro-test-1.ini"); //2.通过工厂获取SecurityManager SecurityManager securityManager = factory.getInstance(); //3.将SecurityManager绑定到当前运行环境 SecurityUtils.setSecurityManager(securityManager); //4.从当前运行环境中构造subject Subject subject = SecurityUtils.getSubject(); //5.构造shiro登录的数据 String username = "zhangsan"; String password = "1234561"; UsernamePasswordToken token = new UsernamePasswordToken(username,password); //6.主体登陆 subject.login(token); //7.验证用户是否登录成功 System.out.println("用户是否登录成功="+subject.isAuthenticated()); //8.获取登录成功的数据 System.out.println(subject.getPrincipal()); } }
用户授权
授权，即权限验证，验证某个已认证的用户是否拥有某个权限；即判断用户是否能做事情，常见的如：验证某个用 户是否拥有某个角色。或者细粒度的验证某个用户对某个资源是否具有某个权限
在resource目录下创建shiro的ini配置文件构造模拟数据（shiro-prem.ini）
[users] #模拟从数据库查询的用户 #数据格式 用户名=密码,角色1,角色2.. zhangsan=123456,role1,role2 lisi=654321,role2 [roles] #模拟从数据库查询的角色和权限列表 #数据格式 角色名=权限1，权限2 role1=user:save,user:update role2=user:update,user.delete role3=user.find
- 完成用户授权
package cn.itcast.shiro; import org.apache.shiro.SecurityUtils; import org.apache.shiro.authc.UsernamePasswordToken; import org.apache.shiro.config.IniSecurityManagerFactory; import org.apache.shiro.mgt.SecurityManager; import org.apache.shiro.subject.Subject; import org.apache.shiro.util.Factory; import org.junit.Before; import org.junit.Test; public class ShiroTest02 { private SecurityManager securityManager; @Before public void init() { //1.根据配置文件创建SecurityManagerFactory Factory<SecurityManager> factory = new IniSecurityManagerFactory("classpath:shiro-test-2.ini"); //2.通过工厂获取SecurityManager SecurityManager securityManager = factory.getInstance(); //3.将SecurityManager绑定到当前运行环境 SecurityUtils.setSecurityManager(securityManager); } @Test public void testLogin() { Subject subject = SecurityUtils.getSubject(); String username = "lisi"; String password = "123456"; UsernamePasswordToken token = new UsernamePasswordToken(username,password); subject.login(token); //登录成功之后，完成授权 //授权：检验当前登录用户是否具有操作权限，是否具有某个角色 System.out.println(subject.hasRole("role1")); System.out.println(subject.isPermitted("user:save")); } }
自定义Realm
Realm域：Shiro从Realm获取安全数据（如用户、角色、权限），就是说SecurityManager要验证用户身份，那么 它需要从Realm获取相应的用户进行比较以确定用户身份是否合法；也需要从Realm得到用户相应的角色/权限进行 验证用户是否能进行操作；可以把Realm看成DataSource，即安全数据源
- 自定义Realm
package cn.itcast.shiro; import org.apache.shiro.authc.*; import org.apache.shiro.authz.AuthorizationInfo; import org.apache.shiro.authz.SimpleAuthorizationInfo; import org.apache.shiro.realm.AuthorizingRealm; import org.apache.shiro.subject.PrincipalCollection; import java.util.ArrayList; import java.util.List; /** * 自定义realms对象 * 继承AuthorizingRealm * 重写方法 * doGetAuthorizationInfo：授权 * 获取到用户的授权数据（用户的权限数据） * doGetAuthenticationInfo：认证 * 根据用户名密码登录，将用户数据保存（安全数据） * */ public class PermissionRealm extends AuthorizingRealm { /** * 自定义realm名称 */ public void setName(String name) { super.setName("permissionRealm"); } //授权:授权的主要目的就是根据认证数据获取到用户的权限信息 /** * principalCollection：包含了所有已认证的安全数据 * AuthorizationInfoInfo：授权数据 */ protected AuthorizationInfo doGetAuthorizationInfo(PrincipalCollection principalCollection) { System.out.println("执行授权方法"); //1.获取安全数据 username，用户id String username = (String)principalCollection.getPrimaryPrincipal(); //2.根据id或者名称查询用户 //3.查询用户的角色和权限信息 List<String> perms = new ArrayList<>(); perms.add("user:save"); perms.add("user:update"); List<String> roles = new ArrayList<>(); roles.add("role1"); roles.add("role2"); //4.构造返回 SimpleAuthorizationInfo info = new SimpleAuthorizationInfo(); //设置权限集合 info.addStringPermissions(perms); //设置角色集合 info.addRoles(roles); return info; } //认证：认证的主要目的，比较用户名和密码是否与数据库中的一致 //将安全数据存入到shiro进行保管 //参数：authenticationToken登录构造的usernamepasswordtoken protected AuthenticationInfo doGetAuthenticationInfo(AuthenticationToken authenticationToken) throws AuthenticationException { System.out.println("执行认证方法"); //1.构造uptoken UsernamePasswordToken upToken = (UsernamePasswordToken) authenticationToken; //2.获取输入的用户名密码 String username = upToken.getUsername(); String password = new String(upToken.getPassword()); //3.根据用户名查询数据库，正式系统查询 //4.比较密码和数据库中的密码是否一致（密码可能需要加密） if("123456".equals(password)) { //5.如果成功，向shiro存入安全数据 SimpleAuthenticationInfo info = new SimpleAuthenticationInfo(username,password,getName());//1.安全数据，2.密码。3。当前realm域名称 return info; }else{ //6.失败，抛出异常或返回null throw new RuntimeException("用户名或密码错误"); } } }
- 配置shiro的ini配置文件（shiro-realm.ini）
[main] #声明realm permReam=cn.itcast.shiro.PermissionRealm #注册realm到securityManager中 securityManager.realms=$permReam
- 验证
package cn.itcast.shiro; import org.apache.shiro.SecurityUtils; import org.apache.shiro.authc.UsernamePasswordToken; import org.apache.shiro.config.IniSecurityManagerFactory; import org.apache.shiro.mgt.SecurityManager; import org.apache.shiro.subject.Subject; import org.apache.shiro.util.Factory; import org.junit.Before; import org.junit.Test; public class ShiroTest03 { private SecurityManager securityManager; @Before public void init() { //1.根据配置文件创建SecurityManagerFactory Factory<SecurityManager> factory = new IniSecurityManagerFactory("classpath:shiro-test-3.ini"); //2.通过工厂获取SecurityManager SecurityManager securityManager = factory.getInstance(); //3.将SecurityManager绑定到当前运行环境 SecurityUtils.setSecurityManager(securityManager); } @Test public void testLogin() { Subject subject = SecurityUtils.getSubject(); String username = "zhangsan"; String password = "123456"; UsernamePasswordToken token = new UsernamePasswordToken(username,password); //执行login-->realm域中的认证方法 subject.login(token); //授权：-->realm域中的授权方法 System.out.println(subject.hasRole("role1")); System.out.println(subject.isPermitted("user:save")); } }
认证与授权的执行流程分析
认证流程
首先调用Subject.login(token)进行登录，其会自动委托给Security Manager，调用之前必须通过SecurityUtils. setSecurityManager()设置；
SecurityManager负责真正的身份验证逻辑；它会委托给Authenticator进行身份验证；
Authenticator才是真正的身份验证者，Shiro API中核心的身份认证入口点，此处可以自定义插入自己的实现；
Authenticator可能会委托给相应的AuthenticationStrategy进行多Realm身份验证，默认ModularRealmAuthenticator会调用AuthenticationStrategy进行多Realm身份验证；
Authenticator会把相应的token传入Realm，从Realm获取身份验证信息，如果没有返回/抛出异常表示身份验证失败了。此处可以配置多个Realm，将按照相应的顺序及策略进行访问。
授权流程
首先调用Subject.isPermitted/hasRole接口，其会委托给SecurityManager，而SecurityManager接着会委托给Authorizer；
Authorizer是真正的授权者，如果我们调用如isPermitted(“user:view”)，其首先会通过PermissionResolver
把字符串转换成相应的Permission实例；
在进行授权之前，其会调用相应的Realm获取Subject相应的角色/权限用于匹配传入的角色/权限；
Authorizer会判断Realm的角色/权限是否和传入的匹配，如果有多个Realm，会委托给ModularRealmAuthorizer进行循环判断，如果匹配如isPermitted/hasRole会返回true，否则返回false表示授权失败。
