1.Shiro学习之Shiro基本使用
1.1 环境准备
1、Shiro不依赖容器，直接创建maven工程即可
2、添加shiro的相关依赖
<dependencies> <dependency> <groupId>org.apache.shiro</groupId> <artifactId>shiro-core</artifactId> <version>1.9.0</version> </dependency> <dependency> <groupId>commons-logging</groupId> <artifactId>commons-logging</artifactId> <version>1.2</version> </dependency> </dependencies>
1.2 INI 文件
Shiro 获取权限相关信息可以通过数据库获取，也可以通过 ini 配置文件获取
暂时访问写死数据，测试用；后期再访问数据库；
[users] zhangsan=z3 lisi=l4
1.3 登录认证
1、登录认证概念
（1）**身份验证：**一般需要提供如身份ID等一些标识信息来表明登录者的身份，如提供email，用户名/密码来证明。
（2）在shiro中，用户需要提供principals（身份）和credentials（证明）给shiro，从而应用能验证用户身份：
（3）principals：身份，即主体的标识属性，可以是任何属性，如用户名、邮箱等，唯一即可。一个主体可以有多个principals，但只有一个Primary principals，一般是用户名/邮箱/手机号。
（4）credentials：证明/凭证，即只有主体知道的安全值，如密码/数字证书等。
（5）最常见的principals和credentials组合就是用户名/密码
2、登录认证基本流程
（1）收集用户身份/凭证，即如用户名/密码
（2）调用 Subject.login 进行登录，如果失败将得到相应 的 AuthenticationException异常，根据异常提示用户 错误信息；否则登录成功
（3）创建自定义的 Realm 类，继承 org.apache.shiro.realm.AuthenticatingRealm类，实现 doGetAuthenticationInfo() 方法
3、登录认证实例
创建测试类，获取认证对象，进行登录认证，如下：
package com.yanwc.shirotest; import org.apache.shiro.SecurityUtils; import org.apache.shiro.authc.*; import org.apache.shiro.config.IniSecurityManagerFactory; import org.apache.shiro.mgt.SecurityManager; import org.apache.shiro.subject.Subject; public class ShiroRun { public static void main(String[] args) { //1.获取初始化Securitymanager 登录管理器 //获取配置文件中我们假设的账号和密码得到值 IniSecurityManagerFactory factory = new IniSecurityManagerFactory("classpath:shiro.ini"); //获取其中对象的值 SecurityManager securityManager = factory.getInstance(); //借助工具SecurityUtils SecurityUtils.setSecurityManager(securityManager); // 2.获取Subject对象 Subject subject = SecurityUtils.getSubject(); //3.创建token对象 web应用用户名密码从页面传递 AuthenticationToken token = new UsernamePasswordToken("zhangsan", "z3"); //4 完成登录 try { subject.login(token); System.out.println("登录成功"); } catch (UnknownAccountException e) { e.printStackTrace(); System.out.println("用户不存在"); } catch (IncorrectCredentialsException e) { e.printStackTrace(); System.out.println("密码错误"); } catch (AuthenticationException ae) { //unexpected condition? error? } } }
密码和账号参数要和配置类相同；
在这里我的理解就是token是用户输入的账号密码。
获取初始化Securitymanager 登录管理器就是获取数据库的账号和密码。进行登录的验证功能；
4、身份认证流程
（1）首先调用 Subject.login(token) 进行登录，其会自动委托给 SecurityManager
（2）SecurityManager 负责真正的身份验证逻辑；它会委托给 Authenticator 进行身份验证；
（3）Authenticator 才是真正的身份验证者，Shiro API 中核心的身份 认证入口点，此处可以自定义插入自己的实现；
（4）Authenticator 可能会委托给相应的 AuthenticationStrategy 进 行多 Realm 身份验证，默认 ModularRealmAuthenticator 会调用 AuthenticationStrategy 进行多 Realm身份验证；
（5） Authenticator 会把相应的 token 传入 Realm，从 Realm 获取 身份验证信息，如果没有返回/抛出异常表示身份验证失败了。此处 可以配置多个Realm，将按照相应的顺序及策略进行访问。
