您的位置: 首页  >  文章  >  Apache Shiro简介

Apache Shiro简介

分类: 文章 • 2024-04-02 12:45:04
    1. Apache Shiro简介
  2. 是一个强大而灵活的开源安全框架，它能够干净利落地处理身份认证，授权，企业会话管理和加密。
  3. 使用 Shiro，您就能够为您的应用程序提供安全性而又无需从头编写所有代码。
  1. 官网：http://shiro.apache.org/
  2. 提供的功能

Apache Shiro简介

 

 

    1. Apache Shiro能做的事情
  • 验证用户
  • 对用户执行访问控制，如：

判断用户是否拥有角色admin。

判断用户是否拥有访问的权限

  • 在任何环境下使用 Session API。例如CS程序。
  • 可以使用多个用户数据源。例如一个是oracle用户库，另外一个是mysql用户库。
  • 单点登录（SSO）功能。
  • “Remember Me”服务 ，类似购物车的功能，shiro官方建议开启。

 

 

    1. 单点登录（SSO）【了解】
  2. 单点登录（Single Sign On）简称为 SSO，是目前比较流行的企业业务整合的解决方案之一。
  3. SSO的定义是在多个应用系统中，用户只需要登录一次就可以访问所有相互信任的应用系统。
  4. 举例：登录了淘宝，不用登录也可以天猫

 

    1. Shiro的4大功能

Apache Shiro简介

 

  1. Authentication：身份验证，简称“登录”。
  2. Authorization：授权，给用户分配角色或者权限资源
  3. Session Management：用户session管理器，可以让CS程序也使用session来控制权限
  4. Cryptography：把JDK中复杂的密码加密方式进行封装。

 

    1. Shiro其它扩展功能
  2. Web Support：主要针对web应用提供一些常用功能。
  3. Caching：缓存可以使应用程序运行更有效率。
  4. Concurrency：多线程相关功能。
  5. Testing：帮助我们进行测试相关功能
  6. "Run As"：一个允许用户假设为另一个用户身份（如果允许）的功能，有时候在管理脚本很有用。
  7. “Remember Me”：记住用户身份，提供类似购物车功能。
    1. Shiro的下载
  1. 访问官网下载shiro-all-1.3.2.jar即可
  2. 源码下载：https://github.com/apache/shiro
  3. shiro-cas：用于单点登录
  4. shiro-quartz:用于定时任务调度

Apache Shiro简介

 

    1. Shiro的的包结构

Apache Shiro简介

 

    1. Shiro的工作原理图

Apache Shiro简介

 

 

    1. Shiro的Subject
  2. Subject 是与程序进行交互的对象，可以是人也可以是服务或者其他，通常就理解为用户。
  3. 所有Subject 实例都必须绑定到一个SecurityManager上。
  4. 我们与一个 Subject 交互，运行时shiro会自动转化为与 SecurityManager交互的特定 subject的交互。

 

    1. Shiro的SecurityManager
  2. SecurityManager 是 Shiro的核心，初始化时协调各个模块运行。
  3. 然而，一旦 SecurityManager协调完毕，SecurityManager 会被单独留下，且我们只需要去操作Subject即可，无需操作SecurityManager 。
  4. 但是我们得知道，当我们正与一个 Subject 进行交互时，实质上是 SecurityManager在处理 Subject 安全操作。

 

    1. Shiro的Realm
  2. Realms在 Shiro中作为应用程序和安全数据之间的“桥梁”或“连接器”。
  3. 他获取安全数据来判断subject是否能够登录，subject拥有什么权限。他有点类似DAO。
  4. 在配置realms时，需要至少一个realm。而且Shiro提供了一些常用的 Realms来连接数据源，如
    • LDAP数据源的JndiLdapRealm，
    • JDBC数据源的JdbcRealm，
    • ini文件数据源的IniRealm，
    • properties文件数据源的PropertiesRealm，等等。
  5. 我们也可以插入自己的 Realm实现来代表自定义的数据源。
  6. 像其他组件一样，Realms也是由SecurityManager控制

 

    1. Shiro的知识总结图

Apache Shiro简介

 

    1. Shiro的过滤器、拦截器
  2. Shiro提供了很多过滤器

Apache Shiro简介

 

  1. anon:例子/admins/**=anon 没有参数，表示可以匿名使用。
  2. authc:例如/admins/user/**=authc表示需要认证(登录)才能使用，没有参数
  3. roles：例子/admins/user/**=roles[admin],参数可以写多个，多个时必须加上引号，并且参数之间用逗号分割，当有多个参数时，

例如admins/user/**=roles["admin,guest"],每个参数通过才算通过，相当于hasAllRoles()方法。

  1. perms：例子/admins/user/**=perms[user:add:*],参数可以写多个，多个时必须加上引号，并且参数之间用逗号分割

例如/admins/user/**=perms["user:add:*,user:modify:*"]，当有多个参数时必须每个参数都通过才通过，想当于isPermitedAll()方法。

  1. rest：例子/admins/user/**=rest[user],根据请求的方法，相当于/admins/user/**=perms[user:method] ,其中method为post，get，delete等。
  2. port：例子/admins/user/**=port[8081],当请求的url的端口不是8081是跳转到schemal://serverName:8081?queryString,

其中schmal是协议http或https等，serverName是你访问的host,8081是url配置里port的端口，queryString是你访问的url里的？后面的参数。

  1. authcBasic：例如/admins/user/**=authcBasic没有参数表示httpBasic认证
  2. ssl:例子/admins/user/**=ssl没有参数，表示安全的url请求，协议为https
  3. user:例如/admins/user/**=user没有参数表示必须存在用户，当登入操作时不做检查
  4. 注：anon，authcBasic，auchc，user是认证过滤器，perms，roles，ssl，rest，port是授权过滤器

相关推荐