Shiro无视原理开始上手

一、Shiro核心组件

1.Subject

subject即主体,外部应用与subject进行交互,subject记录了当前操作用户,将用户的概念理解为当前操作的主体,可能是一个通过浏览器请求的用户,也可能是一个运行的程序。Subject在shiro中是一个接囗,接囗中定义了很多认证授相关的方法,外部程序通过subjet进行认证授,而subject是通过SecurityManager安全管理器进行认证授权

2.SecurityManager

SecurityManager即安全管理器,对全部的subject进行安全管理,它是shiro的核心,负责对所有的subject进行安全管理。通过securityManager可以完成subject的认证、授杈等,实质上securityManager是通过Authenticator进行认证,通过Authorizer进行授权,通过SessionManager进行会话管理等。
SecurityManager是一个接囗,继承了Authenticator,Authorizer,SessionManager这三个接囗。

3.Authenticator

**Authenticator即认证器,**对用户身份进行认证,Authenticator是一个接口,shiro提供ModuIarReaImAuthenticator实现
类,通过ModularRealmAuthenticator基本上可以满足大多数需求,也可以自定义认证器。

4.Authorizer

Authorizer即授杈器,用户通过认证器认证通过,在访问功能时需要通过授权器判断用户是否有此功能的操作权限。

5.ReaIm

Realm即领域,相当于datasource数据源,securityManager进行安全认证需要通过Realm获取用户权限数据,比如:如果
用户身份数据在数据库那么realm就需要从数据库获取用户身份信息

6.SessionManager

SessionManager即会话管理,shiro框架定义了一套会话管理,它不依赖web容器的session,所以shiro可以使用在非web
应用上,也可以将分布式应用的会话集中在一点管理,此特性可使它实现单点登彔。

7.SessionDAO

**SessionDA0即会话dao,**是对session会话操作的一套接囗,比如要session存储到数据库,可以通过jdbc将会话存储到数据库。

8.CacheManager

CacheManager即缓存管理,将用户权限数据存储在缓存,这样可以提高性能。“

9.Cryptography

Cryptography即密码管理,shiro提供了一套加密/解密的组件,方便开发。比如提供常用的散列丶加/解密等功能。

二、Shiro中的认证

1.认证

身份认证,就是判断一个用户是否为合法用户的处理过程。最常用的简单身份认证方式是系统通过核对用户输入的用户名和囗令,看其是否与系统中存储的该用户的用户名和囗令一致,来判断用户身份是否正确。

2.shiro中认证的关键对象

Subject:主体
访问系统的用户,主体可以是用户、程序等,进行认证的都称为主体;

Principal:身份信息
是主体(subject)进行身份认证的标识,标识必须具有唯一性,如用户名、手机号、邮箱地址等,一个主体可以有多个
身份,但是必须有一个主身份(Primary Principal)

credential:凭证信息
是只有主体自己知道的安全信息,如密码、证书等。

三、认证的开发

1.导入依赖

<dependency>
<groupld.org/apache.shxro</groupld>
<artifactld>shiro-core</artifactld>
<version>l.5.3</version>
</dependency>