当前位置: 首页 > >

1.1 Shiro简介与入门案例

发布时间:

一、Shiro简介

Apache Shiro是一个强大且易用的Java安全框架,执行身份验证、授权、密码和会话管理。使用Shiro的易用理解的API,你可以快速、轻松地获得任何应用程序,从最小的移动应用程序到最大的网络和企业应用程序。


1.框架图说明


应用代码直接交互的对象是Subject,也就是说Shiro的对外API核心就是Subject


api说明
Subject主体,代表当前’用户’。这个用户不一定是一个具体的人,与当前应用交互的任何东西都是Subject,如网络爬虫,机器人等;即一个抽象概念;所有Subject都绑定到SecurityManager,与Subject的所有交互都会委托给SecurityManager;可以把Subject认为是一个门面;SecurityManager才是实际的执行者
Shiro SecurityManager安全管理器;即所有与安全有关的操作都会与SecurityManager交互;且它管理着所有Subject;可以看出它是Shiro的核心,它负责与后边介绍的其他组件进行交互,可以把它看成DispatcherServlet前端控制器
Realm,Shiro从Realm获取安全数据(如用户、角色、权限),就是说SecurityManager要验证用户身份,那么它需要从Realm获取相应的用户进行比较以确定用户身份是否合法;也需要从Realm得到用户相应的角色/权限进行验证用户是否能进行操作;可以把Realm看成DataSource,即安全数据源。

2.内部结构框架


Subject:主体,可以看到主体可以是任何可以与应用交互的 “用户”;


SecurityManager:相当于 SpringMVC 中的 DispatcherServlet 或者 Struts2 中的 FilterDispatcher;是 Shiro 的心脏;所有具体的交互都通过 SecurityManager 进行控制;它管理着所有 Subject、且负责进行认证和授权、及会话、缓存的管理。


Authenticator:认证器,负责主体认证的,这是一个扩展点,如果用户觉得 Shiro 默认的不好,可以自定义实现;其需要认证策略(Authentication Strategy),即什么情况下算用户认证通过了;


Authrizer:授权器,或者访问控制器,用来决定主体是否有权限进行相应的操作;即控制着用户能访问应用中的哪些功能;


Realm:可以有 1 个或多个 Realm,可以认为是安全实体数据源,即用于获取安全实体的;可以是 JDBC 实现,也可以是 LDAP 实现,或者内存实现等等;由用户提供;注意:Shiro 不知道你的用户 / 权限存储在哪及以何种格式存储;所以我们一般在应用中都需要实现自己的 Realm;


SessionManager:如果写过 Servlet 就应该知道 Session 的概念,Session 呢需要有人去管理它的生命周期,这个组件就是 SessionManager;而 Shiro 并不仅仅可以用在 Web 环境,也可以用在如普通的 JavaSE 环境、EJB 等环境;所以呢,Shiro 就抽象了一个自己的 Session 来管理主体与应用之间交互的数据;这样的话,比如我们在 Web 环境用,刚开始是一台 Web 服务器;接着又上了台 EJB 服务器;这时想把两台服务器的会话数据放到一个地方,这个时候就可以实现自己的分布式会话(如把数据放到 Memcached 服务器);


SessionDAO:DAO 大家都用过,数据访问对象,用于会话的 CRUD,比如我们想把 Session 保存到数据库,那么可以实现自己的 SessionDAO,通过如 JDBC 写到数据库;比如想把 Session 放到 Memcached 中,可以实现自己的 Memcached SessionDAO;另外 SessionDAO 中可以使用 Cache 进行缓存,以提高性能;


CacheManager:缓存控制器,来管理如用户、角色、权限等的缓存的;因为这些数据基本上很少去改变,放到缓存中后可以提高访问的性能


Cryptography:密码模块,Shiro 提供了一些常见的加密组件用于如密码加密 / 解密的。


3.常见单词
单词意思
Subject主体
Security安全
Realm领域、范围
Authenticator认证器
Authentication认证
Authorizer授权器
Authorization授权
Cryptography密码,加密
Credential证书、凭证、密码
Matcher匹配器
Principal身份

二、案例
1.添加相关依赖



org.apache.shiro
shiro-core
1.2.6


org.slf4j
slf4j-simple
1.6.6


junit
junit
4.12
test


commons-logging
commons-logging
1.2



2.创建ini文件

初次使用我们可以将系统的账号信息配置在ini文件中,减少入门的难度
resources文件夹下创建


[users]
root=123456
# 账号是root,密码是123456

3.测试

package com.shiro;

import org.apache.shiro.SecurityUtils;
import org.apache.shiro.authc.AuthenticationToken;
import org.apache.shiro.authc.UsernamePasswordToken;
import org.apache.shiro.config.IniSecurityManagerFactory;
import org.apache.shiro.mgt.SecurityManager;
import org.apache.shiro.subject.Subject;
import org.apache.shiro.util.Factory;

public class test1 {
public static void main(String[] args) {
//1.获取一个SecurityManager工厂对象
Factory factory=new IniSecurityManagerFactory("classpath:shiro.ini");
//2.通过SecurityManager工厂对象创建SecurityManager
SecurityManager securityManager = factory.getInstance();
//3.将SecurityManager对象添加到当前的运行环境中去
SecurityUtils.setSecurityManager(securityManager);
//4.获取Subject对象
Subject subject = SecurityUtils.getSubject();
//5.获取用户提交的要认证的账号密码
String userName="root";
String password="123456";
//6.将用户提交的账号密码封装为一个Token对象
AuthenticationToken token=new UsernamePasswordToken(userName,password);
//7.完成认证操作
subject.login(token);
//8.获取认证状态
System.out.println(subject.isAuthenticated());
}
}


错误情况:
账号错误:UnknownAccountException

密码错误:IncorrectCredentialsException

综上所得,可以将代码修改为如下


package com.shiro;

import org.apache.shiro.SecurityUtils;
import org.apache.shiro.authc.AuthenticationToken;
import org.apache.shiro.authc.IncorrectCredentialsException;
import org.apache.shiro.authc.UnknownAccountException;
import org.apache.shiro.authc.UsernamePasswordToken;
import org.apache.shiro.config.IniSecurityManagerFactory;
import org.apache.shiro.mgt.SecurityManager;
import org.apache.shiro.subject.Subject;
import org.apache.shiro.util.Factory;

public class test2 {
public static void main(String[] args) {
//1.获取一个SecurityManager工厂对象
Factory factory=new IniSecurityManagerFactory("classpath:shiro.ini");
//2.通过SecurityManager工厂对象创建SecurityManager
SecurityManager securityManager = factory.getInstance();
//3.将SecurityManager对象添加到当前的运行环境中去
SecurityUtils.setSecurityManager(securityManager);
//4.获取Subject对象
Subject subject = SecurityUtils.getSubject();
//5.获取用户提交的要认证的账号密码
String userName="root";
String password="123456";
//6.将用户提交的账号密码封装为一个Token对象
AuthenticationToken token=new UsernamePasswordToken(userName,password);
//7.完成认证操作
try{
subject.login(token);
System.out.println("登录成功");
}catch (UnknownAccountException e){
System.out.println("账号错误");
}catch (IncorrectCredentialsException e){
System.out.println("密码错误");
}


}
}



友情链接: