shiro备忘录一

た入场券 2024-02-18 17:00 57阅读 0赞

### 什么是shiro？ ###

Shiro是Apache的一个开源框架，是一个权限管理框架，实现用户认证、用户授权。  
Spring中有spring security，是一个权限框架，它和spring依赖过于紧密，没有shiro简单。  
Shiro不依赖spring，shiro不仅可以实现web应用的权限管理，还可以实现c/s系统、分布式系统的权限管理。Shiro属于轻量级框架。

### Shiro架构 ###

![这里写图片描述][SouthEast]

*  Subject：主体，可以是用户也可以是程序，主体要访问系统，系统需要对主体进行认证、授权。
 *  SecurityManager：安全管理器，主体进行认证和授权都是通过securityManager进行。
 *  Authenticator：认证器，主体进行认证最终通过Authenticator进行的。
 *  Anthorizer：授权器，主体进行授权最终通过Anthorizer进行的
 *  SessionManager：web应用中一般用web容器对session进行管理，shiro也提供了一套session管理的方式
 *  SessionDao：通过sessiondao管理session数据，针对个性化的session数据存储需要使用sessionDao
 *  cacheManager：缓存管理器，主要对session和授权数据进行缓存 ，比如将授权数据通过cacheManager进行缓存管理，和ehcache整合对缓存数据进行管理。  
    **注意：在realm中存储授权和认证的逻辑**
 *  Cryptography：密码管理，提供了一套加密/解密组件，方便开发。比如提供常用的散列、加/解密等功能。 比如MD5

### Shiro的jar包 ###

[https://pan.baidu.com/s/1bozOFsb][https_pan.baidu.com_s_1bozOFsb] hrjf

### Shiro的认证 ###

### 1. shiro认证流程 ###

![这里写图片描述][SouthEast 1]

### 2. shiro入门程序 ###

#对用户信息进行配置
    [users]
    zhangsan=123456
    lisi=2222

@Test
        public void testLoginAndLogOut() {
            Factory<SecurityManager> factory = new IniSecurityManagerFactory(
                    "classpath:shiro-first.ini");
    
            //创建securityManager
            SecurityManager securityManager = factory.getInstance();
    
            //将securityManager设置当前的运行环境中
            SecurityUtils.setSecurityManager(securityManager);
    
            //从SecurityUtils里边创建一个subject
            Subject subject = SecurityUtils.getSubject();
    
            UsernamePasswordToken token = new UsernamePasswordToken("zhangsan", "111111");
    
            try {
                subject.login(token);
            } catch (AuthenticationException e) {
                // TODO Auto-generated catch block
                e.printStackTrace();
            }
    
            boolean isAuthenticated = subject.isAuthenticated();
    
            System.out.println(isAuthenticated);
    
            subject.logout();
            isAuthenticated = subject.isAuthenticated();
            System.out.println(isAuthenticated);
    
        }

### 3.整理认证流程 ###

*  1) 通过ini配置文件创建securityManager
 *  2) 调用subject.login方法主体提交认证
 *  3) SecurityManager进行认证，securityManager最终由ModularRealmAuthenticator进行认证
 *  4) ModularRealmAuthenticator调用IniRealm去配置文件中查询用户信息
 *  5) IniRealm根据输入的token（UsernamePasswordToken）从shiro-first.ini中查询用户信息，根据账号查询用户信息（账号和密码）  
    如果查询到用户信息，就给ModularRealmAuthenticator返回用户信息（账号和密码）  
    如果查询不到，就给ModularRealmAuthenticator返回null
 *  6) ModularRealmAuthenticator接收IniRealm返回Authentication认证信息  
    如果返回的认证信息是null，ModularRealmAuthenticator抛出异常  
    org.apache.shiro.authc.UnknownAccountException  
    如果返回的认证信息不是null（说明找到了用户），对IniRealm返回用户密码（在ini文件中存在）和tocken中的密码进行比对，如果不一致，抛出异常  
    org.apache.shiro.authc.IncorrectCredentialsException

### shiro小结 ###

*  ModularRealmAuthenticator作用进行认证，需要调用realm查询用户信息（在数据库中存在用户信息）
 *  ModularRealmAuthenticator进行密码比对（认证过程）
 *  Realm：需要根据tocken中的身份信息去查询数据库（入门程序使用ini文件配置），如果查询到用户返回用户信息，如果查询不到返回null

[SouthEast]: https://image.dandelioncloud.cn/pgy_files/images/2024/01/29/4dd9b96c7bfb44d6a9ffc3e0736b63bf.png
[https_pan.baidu.com_s_1bozOFsb]: https://pan.baidu.com/s/1bozOFsb
[SouthEast 1]: https://image.dandelioncloud.cn/pgy_files/images/2024/01/29/b5611b64b4694c4eb7fef0138dbfb179.png