Shiro学习第一篇(Shiro概述与使用ini完成认证)
1.1什么是权限管理
权限管理包括用户身份认证和授权两部分,简称认证授权
身份认证
Subject:主体
访问系统的用户,主体可以是用户、程序等,进行认证的都称为主体
Principal:身份信息(username)
是主体(Subject)进行身份认证的标识,标识必须具有唯一性,如用户名、手机号,邮箱地址等,一个主体可以有多个身份,但是必须有一个主身份(Primary Principal)
Credential:凭证信息(Password)
是只有主体自己知道的安全信息,如密码、证书等
授权:即访问控制,控制谁能访问哪些资源,主体进行身份认证后需要分配权限方可访问系统的资源,对于某些资源没有权限是没法访问的
1.2什么是Apache Shiro
Apache Shiro是java的一个安全框架,帮助我们完成:认证、授权、加密、会话管理、与Web集成、缓存等
1.3 Shiro能做什么事情
从功能角度看:shiro
Authentication:身份认证/登录,验证用户是否拥有相应的权限
Authorization:授权,即权限验证,验证某个已认证的用户是否拥有某个权限
Session Manager:会话管理,即用户登录后就是一次会话,在没有退出之前,它的所有信息都在会话中;会话可以是普通javaSE环境,也可以是Web环境的
Cryptography:加密,保护数据的安全性,如密码加密存储到数据库,而不是明文存储
Web Support:Web支持,可以非常容易的集成到Web环境
Caching:缓存,比如用户登录后,其用户信息、拥有的角色/权限不必每次去查,这样可以提高效率
Concurrency:Shiro支持多线程应用的并发验证,即如在一个线程中开启另一个线程,能把权限自动传播过去
Testing:提供测试支持
Run As:允许一个用户假装另一个用户的身份进行访问
Remember Me:记住我,即一次登录后,下次访问不需要登录
1.4 Shiro核心概念(外部)
Shiro架构有三个主要概念:Subject、SecurityManager、Realms
Subject:访问系统的用户,主体可以是用户、程序等,进行认证的都称为主体
SecurityManager:安全管理器,它是Shiro的核心,负责与后边介绍的其他组件(认证器/授权器/缓存控制器)进行交互,实现Subject委托的各种功能。有点类似于SpringMVC中的DispatcherServlet前端控制器
Realm:Realm充当了Shiro与应用安全数据的“桥梁”或者“连接器”,可以把Realm看成DataSource,及安全数据源。执行认证(登录)和授权(访问控制)时,Shiro会从应用配置的Realm中查找相关的比对数据,以确认以后是否合法,操作是否合法
1.5 Shiro核心架构(内部)
从系统结构角度看:Shiro
1) Subject:主体,可以看到主体可以是任何与应用交互的“用户”。
2) SecurityManager:相当于SpringMVC 中的 DispatcherServlet 或者 Struts2 中的 FilterDispatcher。它是 Shiro 的核心,所有具体的交互都通过 SecurityManager 进行控制。它管理着所有 Subject、且负责进行认证和授权、及会话、缓存的管理。
3) Authenticator:认证器,负责主体认证的,这是一个扩展点,如果用户觉得 Shiro 默认的不好,我们可以自定义实现。其需要认证策略(Authentication Strategy),即什么情况下算用户认证通过了。
4) Authrizer:授权器,或者访问控制器。它用来决定主体是否有权限进行相应的操作,即控制着用户能访问应用中的哪些功能。
5) Realm:可以有1个或多个 Realm,可以认为是安全实体数据源,即用于获取安全实体的。它可以是 JDBC 实现,也可以是 LDAP 实现,或者内存实现等。
6) SessionManager:如果写过 Servlet就应该知道 Session 的概念,Session 需要有人去管理它的生命周期,这个组件就是 SessionManager。而 Shiro 并不仅仅可以用在 Web 环境,也可以用在如普通的 JavaSE 环境。
7) SessionDAO:DAO 大家都用过,数据访问对象,用于会话的 CRUD。我们可以自定义 SessionDAO 的实现,控制 session 存储的位置。如通过 JDBC 写到数据库或通过 jedis 写入 redis 中。另外 SessionDAO 中可以使用 Cache 进行缓存,以提高性能。
8) CacheManager:缓存管理器。它来管理如用户、角色、权限等的缓存的。因为这些数据基本上很少去改变,放到缓存中后可以提高访问的性能。
9) Cryptography:密码模块,Shiro 提高了一些常见的加密组件用于如密码加密/解密的。
1.6使用ini完成认证
认证步骤
1:拷贝依赖
<dependency>
<groupId>commons-logging</groupId>
<artifactId>commons-logging</artifactId>
<version>1.1.3</version>
</dependency>
<dependency>
<groupId>org.apache.shiro</groupId>
<artifactId>shiro-core</artifactId>
<version>1.2.3</version>
</dependency>
2:配置shiro.ini配置文件,模拟数据库用户列表
[users] #模拟数据库用户列表:账号=密码 zhangsan=666 lisi=888
3:执行shiro登录登出操作
package cn.volfcode; import org.apache.shiro.SecurityUtils; import org.apache.shiro.authc.UsernamePasswordToken; import org.apache.shiro.config.IniSecurityManagerFactory; import org.apache.shiro.mgt.SecurityManager; import org.apache.shiro.subject.Subject; import org.apache.shiro.util.Factory; import org.junit.Test; /** * Created by X240 on 2018/5/22. */ public class ShiroTest { @Test public void testLogin() throws Exception{ //1.创建SecurityManager工厂对象:加载配置文件,创建刚才对象 Factory<SecurityManager> factory = new IniSecurityManagerFactory("classpath:shiro.ini"); //2.通过工厂对象,创建SecurityManager对象 SecurityManager securityManager = factory.getInstance(); //3.将SecurityManager绑定到当前运行环境中,让系统随时随地可以访问SecurityManager对象 SecurityUtils.setSecurityManager(securityManager); //4.创建当前登录的主体,注意:此时主体没有经过认证 Subject subject = SecurityUtils.getSubject(); //5.收集主体登录的身份/凭证,即账号密码 UsernamePasswordToken token = new UsernamePasswordToken("lisi","888"); //6.主体登录 try { subject.login(token); }catch (Exception e){ System.out.println("登录失败:" + e); } //7.判断登录是否成功 System.out.println("验证登录是否成功:" + subject.isAuthenticated()); //8.退出(注销) subject.logout(); System.out.println("验证登录是否成功:" + subject.isAuthenticated()); } }