Shiro是一個強大的簡單易用的Java安全框架款侵，主要用來更便捷的認(rèn)證，授權(quán)嚎卫，加密，會話管理宏榕。Shiro首要的和最重要的目標(biāo)就是容易使用并且容易理解拓诸。

Shiro的特性

Shiro是一個有許多特性的全面的安全框架，下面這幅圖可以了解Shiro的特性：

1. Authentication：身份認(rèn)證/登錄担扑，驗證用戶是不是擁有相應(yīng)的身份恰响。
2. Authorization：授權(quán)，即權(quán)限驗證涌献，驗證某個已認(rèn)證的用戶是否擁有某個權(quán)限；即判斷用戶是否能做事情首有，常見的如：驗證某個用戶是否擁有某個角色燕垃。或者細粒度的驗證某個用戶對某個資源是否具有某個權(quán)限井联。
3. Session Manager：會話管理卜壕，即用戶登錄后就是一次會話，在沒有退出之前烙常，它的所有信息都在會話中轴捎；會話可以是普通 JavaSE 環(huán)境的，也可以是如 Web 環(huán)境的蚕脏。
4. Cryptography：加密侦副，保護數(shù)據(jù)的安全性，如密碼加密存儲到數(shù)據(jù)庫驼鞭，而不是明文存儲秦驯。
5. Web Support：Web支持，可以非常容易的集成到 web 環(huán)境挣棕。
6. Caching：緩存译隘，比如用戶登錄后亲桥，其用戶信息、擁有的角色/權(quán)限不必每次去查固耘，這樣可以提高效率题篷。
7. Concurrency：shiro 支持多線程應(yīng)用的并發(fā)驗證，即如在一個線程中開啟另一個線程厅目，能把權(quán)限自動傳播過去悼凑。
8. Testing：提供測試支持。
9. Run As：允許一個用戶假裝為另一個用戶（如果他們允許）的身份進行訪問璧瞬。
10. Remember Me：記住我户辫，這個是非常常見的功能，即一次登錄后嗤锉，下次再來的話不用登錄了渔欢。
    2.2 運行原理

1. Subject：主體，代表了當(dāng)前“用戶”瘟忱。這個用戶不一定是一個具體的人奥额，與當(dāng)前應(yīng)用交互的任何東西都是 Subject，如網(wǎng)絡(luò)爬蟲访诱，機器人等垫挨。所有 Subject 都綁定到 SecurityManager，與 Subject 的所有交互都會委托給 SecurityManager触菜。我們可以把 Subject 認(rèn)為是一個門面九榔，SecurityManager 才是實際的執(zhí)行者。
2. SecurityManager：安全管理器涡相。即所有與安全有關(guān)的操作都會與 SecurityManager 交互哲泊，且它管理著所有 Subject〈呋龋可以看出它是 Shiro 的核心切威，它負(fù)責(zé)與后邊介紹的其他組件進行交互，如果學(xué)習(xí)過 SpringMVC丙号，我們可以把它看成 DispatcherServlet 前端控制器先朦。
3. Realm：域。Shiro 從 Realm 獲取安全數(shù)據(jù)（如用戶犬缨、角色喳魏、權(quán)限），就是說 SecurityManager 要驗證用戶身份遍尺，那么它需要從 Realm 獲取相應(yīng)的用戶進行比較以確定用戶身份是否合法截酷，也需要從 Realm 得到用戶相應(yīng)的角色/權(quán)限進行驗證用戶是否能進行操作。我們可以把 Realm 看成 DataSource，即安全數(shù)據(jù)源迂苛。

Shiro 運行原理圖及內(nèi)部架構(gòu)如圖下：

1. Subject：主體三热，可以看到主體可以是任何與應(yīng)用交互的“用戶”。
2. SecurityManager：相當(dāng)于 SpringMVC 中的 DispatcherServlet 或者 Struts2 中的 FilterDispatcher三幻。它是 Shiro 的核心就漾，所有具體的交互都通過 SecurityManager 進行控制。它管理著所有 Subject念搬、且負(fù)責(zé)進行認(rèn)證和授權(quán)抑堡、及會話、緩存的管理朗徊。
3. Authenticator：認(rèn)證器首妖，負(fù)責(zé)主體認(rèn)證的，這是一個擴展點爷恳，如果用戶覺得 Shiro 默認(rèn)的不好有缆，我們可以自定義實現(xiàn)。其需要認(rèn)證策略（Authentication Strategy）温亲，即什么情況下算用戶認(rèn)證通過了棚壁。
4. Authrizer：授權(quán)器，或者訪問控制器栈虚。它用來決定主體是否有權(quán)限進行相應(yīng)的操作袖外，即控制著用戶能訪問應(yīng)用中的哪些功能。
5. Realm：可以有1個或多個 Realm魂务，可以認(rèn)為是安全實體數(shù)據(jù)源曼验，即用于獲取安全實體的。它可以是 JDBC 實現(xiàn)头镊，也可以是 LDAP 實現(xiàn)蚣驼，或者內(nèi)存實現(xiàn)等。
6. SessionManager：如果寫過 Servlet 就應(yīng)該知道 Session 的概念相艇，Session 需要有人去管理它的生命周期，這個組件就是 SessionManager纯陨。而 Shiro 并不僅僅可以用在 Web 環(huán)境坛芽，也可以用在如普通的 JavaSE 環(huán)境。
7. SessionDAO：DAO 大家都用過翼抠，數(shù)據(jù)訪問對象咙轩，用于會話的 CRUD。我們可以自定義 SessionDAO 的實現(xiàn)阴颖，控制 session 存儲的位置活喊。如通過 JDBC 寫到數(shù)據(jù)庫或通過 jedis 寫入 redis 中。另外 SessionDAO 中可以使用 Cache 進行緩存量愧，以提高性能钾菊。
8. CacheManager：緩存管理器帅矗。它來管理如用戶、角色煞烫、權(quán)限等的緩存的浑此。因為這些數(shù)據(jù)基本上很少去改變，放到緩存中后可以提高訪問的性能滞详。
9. Cryptography：密碼模塊凛俱，Shiro 提高了一些常見的加密組件用于如密碼加密/解密的。

過濾器

  /admins/**=auth               # 表示該 uri 需要認(rèn)證才能訪問
  /admins/**=authcBasic         # 表示該 uri 需要 httpBasic 認(rèn)證
  /admins/**=perms[user:add:*]  # 表示該 uri 需要認(rèn)證用戶擁有 user:add:* 權(quán)限才能訪問
  /admins/**=port[8081]         # 表示該 uri 需要使用 8081 端口
  /admins/**=rest[user]         # 相當(dāng)于 /admins/**=perms[user:method]料饥，其中蒲犬，method 表示  get、post岸啡、delete 等
  /admins/**=roles[admin]       # 表示該 uri 需要認(rèn)證用戶擁有 admin 角色才能訪問
  /admins/**=ssl                # 表示該 uri 需要使用 https 協(xié)議
  /admins/**=user               # 表示該 uri 需要認(rèn)證或通過記住我認(rèn)證才能訪問
  /logout=logout                # 表示注銷,可以當(dāng)作固定配置
注意：
anon原叮，authcBasic，auchc凰狞，user 是認(rèn)證過濾器篇裁。
perms，roles赡若，ssl达布，rest，port 是授權(quán)過濾器逾冬。

創(chuàng)一個建Shiro項目
pom.xml中添加如下依賴：

<dependencies>
     <dependency> 
        <groupId>org.apache.shiro</groupId>
        <artifactId>shiro-core</artifactId> 
        <version>1.2.3</version> 
    </dependency>
   <dependency>
      <groupId>org.slf4j</groupId> 
      <artifactId>slf4j-simple</artifactId>
      <version>1.6.1</version> 
  </dependency> 
</dependencies>

配置文件

在 src/main/resources 目錄下創(chuàng)建名為 shiro.ini 的配置文件黍聂，內(nèi)容如下

    [users]
    # admin=admin 分別表示賬號和密碼，administrator 表示逗號前邊的賬號擁有 administrator 這個角色身腻。
    admin=admin,administrator
    zhangsan=zhangsan,manager
    lisi=lisi,guest

    [roles]
    # administrator 表示角色名稱产还，* 表示這個角色擁有所有權(quán)限
    administrator=*
    manager=user:*,department:*
    guest=user:query,department:query

測試類

    public class ShiroTest {

        @Test
        public void test() {

            // 讀取 shiro.ini 文件內(nèi)容
            Factory<SecurityManager> factory = new IniSecurityManagerFactory("classpath:shiro.ini");
            SecurityManager securityManager = factory.getInstance();
            SecurityUtils.setSecurityManager(securityManager);

            Subject currentUser = SecurityUtils.getSubject();

            Session session = currentUser.getSession();
            session.setAttribute("someKey", "aValue");
            String value = (String) session.getAttribute("someKey");
            if (value.equals("aValue")) {
                System.out.println("someKey 的值：" + value);
            }

            // 登陸
            UsernamePasswordToken token = new UsernamePasswordToken("zhangsan", "zhangsan");
            token.setRememberMe(true);
            try {
                currentUser.login(token);
            } catch (UnknownAccountException uae) {
                System.out.println("用戶名不存在:" + token.getPrincipal());
            } catch (IncorrectCredentialsException ice) {
                System.out.println("賬戶密碼 " + token.getPrincipal()  + " 不正確!");
            } catch (LockedAccountException lae) {
                System.out.println("用戶名 " + token.getPrincipal() + " 被鎖定 !");
            }
            
            // 認(rèn)證成功后
            if (currentUser.isAuthenticated()) {
                
                System.out.println("用戶 " + currentUser.getPrincipal() + " 登陸成功！");
                
                //測試角色
                System.out.println("是否擁有 manager 角色：" + currentUser.hasRole("manager"));
                
                //測試權(quán)限
                System.out.println("是否擁有 user:create 權(quán)限" + currentUser.isPermitted("user:create"));
                
                //退出
                currentUser.logout();
            }

        }
    }

使用注解進行用戶進行授權(quán)校驗

在使用 Shiro 的注解之前嘀趟，請確保項目中已經(jīng)添加支持 AOP 功能的相關(guān) jar 包脐区。常用注解如下：

    @RequiresRoles( "manager" )      # 角色校驗
    public String save() {
        //TODO
    }
    @RequiresPermissions("user:manage")  # 權(quán)限檢驗
    public String delete() {
          //TODO
    }

自定義 Realm

上邊的程序使用的是 Shiro 自帶的 IniRealm，而 IniRealm 從 ini 配置文件中讀取用戶的信息她按，大部分情況下需要從系統(tǒng)的數(shù)據(jù)庫中讀取用戶信息牛隅，所以需要自定義 realm。

    public class CustomRealm extends AuthorizingRealm {

        /**
         * 認(rèn)證
         */
        @Override
        protected AuthenticationInfo doGetAuthenticationInfo(AuthenticationToken token) throws AuthenticationException {
            // 從 token 中獲取用戶身份信息
            String username = (String) token.getPrincipal();
            // 通過 username 從數(shù)據(jù)庫中查詢
        
            // 如果查詢不到則返回 null
            if(!username.equals("zhangsan")){//這里模擬查詢不到
                return null;
            }
            
            //獲取從數(shù)據(jù)庫查詢出來的用戶密碼 
            String dbPassword = "zhangsan";//這里使用靜態(tài)數(shù)據(jù)模擬
            
            //返回認(rèn)證信息由父類 AuthenticatingRealm 進行認(rèn)證
            SimpleAuthenticationInfo simpleAuthenticationInfo = new SimpleAuthenticationInfo(username, dbPassword, getName());

            return simpleAuthenticationInfo;
        }
        
        /**
         * 授權(quán)
         */
        @Override
        protected AuthorizationInfo doGetAuthorizationInfo(PrincipalCollection principals) {
            // 獲取身份信息
            String username = (String) principals.getPrimaryPrincipal();
            // 根據(jù)身份信息從數(shù)據(jù)庫中查詢權(quán)限數(shù)據(jù)
            // 這里使用靜態(tài)數(shù)據(jù)模擬
            List<String> permissions = new ArrayList<String>();
            permissions.add("user:*");
            permissions.add("department:*");
            
            // 將權(quán)限信息封閉為AuthorizationInfo
            SimpleAuthorizationInfo simpleAuthorizationInfo = new SimpleAuthorizationInfo();
            // 模擬數(shù)據(jù)酌泰，添加 manager 角色
            simpleAuthorizationInfo.addRole("manager");
            
            for(String permission:permissions){
                simpleAuthorizationInfo.addStringPermission(permission);
            }
            
            return simpleAuthorizationInfo;
        }

    }

在 src/main/resources 目錄下創(chuàng)建 shiro-realm.ini 文件媒佣，內(nèi)容如下：

    [main]
    #自定義 realm
    customRealm=com.light.shiroTest.realm.CustomRealm
    #將realm設(shè)置到securityManager
    securityManager.realms=$customRealm

與 Spring 整合

添加依賴

    <dependency>
        <groupId>org.apache.shiro</groupId>
        <artifactId>shiro-core</artifactId>
        <version>1.4.0</version>
    </dependency>
    <dependency>
        <groupId>org.apache.shiro</groupId>
        <artifactId>shiro-spring</artifactId>
        <version>1.4.0</version>
    </dependency>

配置文件

web.xml ：

    <filter>
        <filter-name>shiroFilter</filter-name>
        <filter-class>org.springframework.web.filter.DelegatingFilterProxy</filter-class>
        <init-param>
            <param-name>targetFilterLifecycle</param-name>
            <param-value>true</param-value>
        </init-param>
    </filter>

    <filter-mapping>
        <filter-name>shiroFilter</filter-name>
        <url-pattern>/*</url-pattern>
    </filter-mapping>

application-shiro.xml：

    <bean id="shiroFilter" class="org.apache.shiro.spring.web.ShiroFilterFactoryBean">
        <!-- 必須設(shè)置 -->
        <property name="securityManager" ref="securityManager"/>
        <!-- 3 個 url 屬性為可選設(shè)置 -->
        <property name="loginUrl" value="/login.jsp"/>
        <property name="successUrl" value="/home.jsp"/>
        <property name="unauthorizedUrl" value="/unauthorized.jsp"/>
        <property name="filterChainDefinitions">
            <value>
                <!-- 對靜態(tài)資源設(shè)置匿名訪問 -->
                /resources/** = anon
                /login = anon
                <!-- /** = authc 所有url都必須認(rèn)證通過才可以訪問-->
                /** = authc
            </value>
        </property>
    </bean>

    <!-- 安全管理器 -->
    <bean id="securityManager" class="org.apache.shiro.web.mgt.DefaultWebSecurityManager">
        <property name="realm" ref="customRealm" />
    </bean>

    <!-- 自定義 realm -->
    <bean id="customRealm" class="com.light.ac.web.realm.CustomRealm"></bean>

    <!-- 保證實現(xiàn)了Shiro內(nèi)部lifecycle函數(shù)的bean執(zhí)行 -->
    <bean id="lifecycleBeanPostProcessor" class="org.apache.shiro.spring.LifecycleBeanPostProcessor" />

其中，application-shiro.xml 中的 shiroFilter 名字和 web.xml 文件中的 shiroFilter是對應(yīng)的陵刹，必須一致默伍。
anon 和 authc 對應(yīng)上文提到的過濾器。

CustomRealm 類：

    public class CustomRealm extends AuthorizingRealm {

        @Autowired
        private UserService userService;
        
        @Autowired
        private PermissionService permissionService;
        
        /**
         * 認(rèn)證
         */
        @Override
        protected AuthenticationInfo doGetAuthenticationInfo(AuthenticationToken token) throws AuthenticationException {
            // 獲取用戶名
            String userName = (String) token.getPrincipal();
            // 通過用戶名獲取用戶對象
            User user = this.userService.findUserByUserName(userName);
            
            if (user == null) {
                return null;
            }
            
            // 通過 userId 獲取該用戶擁有的所有權(quán)限，返回值根據(jù)自己需求編寫也糊，并非固定值炼蹦。
            Map<String,List<Permission>> permissionMap = this.permissionService.getPermissionMapByUserId(user.getId());
            
            // （目錄+菜單，分層級显设，用于前端 jsp 遍歷）
            user.setMenuList(permissionMap.get("menuList"));
            // （目錄+菜單+按鈕框弛，用于后端權(quán)限判斷）
            user.setPermissionList(permissionMap.get("permissionList"));
            
            SimpleAuthenticationInfo info = new SimpleAuthenticationInfo(user,user.getPassword(),this.getName());
            
            return info;
        }
        
        /**
         * 授權(quán)
         */
        @Override
        protected AuthorizationInfo doGetAuthorizationInfo(PrincipalCollection principals) {
            User user = (User) principals.getPrimaryPrincipal();
            
            SimpleAuthorizationInfo info = new SimpleAuthorizationInfo();
            
            // （目錄+菜單+按鈕，用于后端權(quán)限判斷）
            List<Permission> permissionList = user.getPermissionList();
            
            for (Permission permission : permissionList) {
                if (StringUtil.isNotEmpty(permission.getCode())) {
                    info.addStringPermission(permission.getCode());
                }
            }
            
            return info;
        }
    }