Apache Shiro 是一個(gè)強(qiáng)大易用的 Java 安全框架，提供了認(rèn)證、授權(quán)、加密和session會(huì)話管理等功能，對(duì)于任何一個(gè)應(yīng)用程序，Shiro 都可以提供全面的安全管理服務(wù)。并且相對(duì)于其他安全框架spring security，Shiro 要簡單的多。

Shiro是apache旗下一個(gè)開源框架，它將軟件系統(tǒng)的安全認(rèn)證相關(guān)的功能抽取出來，實(shí)現(xiàn)用戶身份認(rèn)證，權(quán)限授權(quán)、加密、會(huì)話管理等功能，組成了一個(gè)通用的安全認(rèn)證框架。

Shiro可以非常容易的開發(fā)出足夠好的應(yīng)用，其不僅可以用在JavaSE環(huán)境，也可以用在JavaEE環(huán)境。Shiro可以幫助我們完成：認(rèn)證、授權(quán)、加密、會(huì)話管理、與Web集成、緩存等。

1.1 什么是權(quán)限管理

基本上涉及到用戶參與的系統(tǒng)都要進(jìn)行權(quán)限管理，權(quán)限管理屬于系統(tǒng)安全的范疇，權(quán)限管理實(shí)現(xiàn)對(duì)用戶訪問系統(tǒng)的控制，按照安全規(guī)則或者安全策略控制用戶可以訪問而且只能訪問自己被授權(quán)的資源。

權(quán)限管理包括用戶身份認(rèn)證和授權(quán)兩部分，簡稱認(rèn)證授權(quán)。對(duì)于需要訪問控制的資源用戶首先經(jīng)過身份認(rèn)證，認(rèn)證通過后用戶具有該資源的訪問權(quán)限方可訪問。

1.2 什么是身份認(rèn)證

身份認(rèn)證，就是判斷一個(gè)用戶是否為合法用戶的處理過程。最常用的簡單身份認(rèn)證方式是系統(tǒng)通過核對(duì)用戶輸入的用戶名和口令，看其是否與系統(tǒng)中存儲(chǔ)的該用戶的用戶名和口令一致，來判斷用戶身份是否正確。對(duì)于采用指紋等系統(tǒng)，則出示指紋；對(duì)于硬件Key等刷卡系統(tǒng)，則需要刷卡。

1.3 什么是授權(quán)

授權(quán)，即訪問控制，控制誰能訪問哪些資源。主體進(jìn)行身份認(rèn)證后需要分配權(quán)限方可訪問系統(tǒng)的資源，對(duì)于某些資源沒有權(quán)限是無法訪問的 .

1.4 認(rèn)證授權(quán)框架有哪些

shiro框架和spring security框架這款框架是現(xiàn)在市面比較流行。

2.使用shiro完成認(rèn)證工作

2.1 shiro中認(rèn)證的關(guān)鍵對(duì)象

Subject：主體訪問系統(tǒng)的用戶，主體可以是用戶、程序等，進(jìn)行認(rèn)證的都稱為主體；

Principal：身份信息----賬號(hào)是主體（subject）進(jìn)行身份認(rèn)證的標(biāo)識(shí)，標(biāo)識(shí)必須具有唯一性，如用戶名、手機(jī)號(hào)、郵箱地址等，一個(gè)主體可以有多個(gè)身份，但是必須有一個(gè)主身份（Primary Principal）。

credential：憑證信息---密碼是只有主體自己知道的安全信息，如密碼、證書等。

2.2 認(rèn)證流程

2.3 項(xiàng)目代碼

1.先不用數(shù)據(jù)庫來進(jìn)行身份認(rèn)證，--我們ini文件，window系統(tǒng)文件，該文件中可以存放賬號(hào)和密碼。

(1) 創(chuàng)建一個(gè)maven java工程

2.3.1 依賴

 <dependency>
            <groupId>org.apache.shiro</groupId>
            <artifactId>shiro-core</artifactId>
            <version>1.9.0</version>
        </dependency>

2.3.2 創(chuàng)建ini文件

2.3.3 測(cè)試代碼

public class Test01 {
    public static void main(String[] args) {
        //1.獲取SecurityManager對(duì)象
        DefaultSecurityManager securityManager=new DefaultSecurityManager();
        //2.讀取ini文件
        IniRealm iniRealm=new IniRealm("classpath:shiro.ini");
        //3。設(shè)置securityManager的realm
        securityManager.setRealm(iniRealm);
        //4.設(shè)置securityManager上下文生效
        SecurityUtils.setSecurityManager(securityManager);
        //5.獲取subject的主體對(duì)象
        Subject subject=SecurityUtils.getSubject();
        try{
            //UsernamePasswordToken作用是封裝你輸入的賬號(hào)和密碼 是客戶自己輸入的 用來進(jìn)行比較與realm
            UsernamePasswordToken token=new UsernamePasswordToken("admin","123456");
            //拋出異常 比對(duì)shiro中realm和自己的對(duì)比，如果一致則登錄成功，不一致則登錄失敗
            subject.login(token);
            System.out.println("登陸成功");
        }catch(Exception e){
            e.printStackTrace();
            System.out.println("登陸失敗");
        }
    }
}

2.4 認(rèn)證的原理

Subject: 主題登錄信息提交給SecurityManager --->認(rèn)證器Authenticator---->根據(jù)你的realm提供的數(shù)據(jù)進(jìn)行相關(guān)的認(rèn)證。 realm---與數(shù)據(jù)源交互的類。

3.授權(quán)

3.1 修改ini文件

3.2 修改代碼

public class Test01 {
    public static void main(String[] args) {
        //1.獲取SecurityManager對(duì)象
        DefaultSecurityManager securityManager=new DefaultSecurityManager();
        //2.讀取ini文件
        IniRealm iniRealm=new IniRealm("classpath:shiro.ini");
        //3。設(shè)置securityManager的realm
        securityManager.setRealm(iniRealm);
        //4.設(shè)置securityManager上下文生效
        SecurityUtils.setSecurityManager(securityManager);
        //5.獲取subject的主體對(duì)象
        Subject subject=SecurityUtils.getSubject();
        try{
            //UsernamePasswordToken作用是封裝你輸入的賬號(hào)和密碼 是客戶自己輸入的 用來進(jìn)行比較與realm
            UsernamePasswordToken token=new UsernamePasswordToken("admin","123456");
            //拋出異常 比對(duì)shiro中realm和自己的對(duì)比，如果一致則登錄成功，不一致則登錄失敗
            subject.login(token);
            System.out.println("登陸成功");
        }catch(Exception e){
            e.printStackTrace();
            System.out.println("登陸失敗");
        }
        System.out.println("=========================登陸后===========================");
        boolean authenticated = subject.isAuthenticated();
        if(authenticated){
            //判斷當(dāng)前登錄者是否具有user:query權(quán)限
            boolean permitted = subject.isPermitted("user:update");
            System.out.println(permitted);
            //從角色角度
            boolean role1 = subject.hasRole("role1");
            System.out.println(role1);
        }else {
            System.out.println("請(qǐng)先認(rèn)證");
        }
    }
}

到此這篇關(guān)于Java shiro安全框架使用介紹的文章就介紹到這了,更多相關(guān)Java shiro安全框架內(nèi)容請(qǐng)搜索腳本之家以前的文章或繼續(xù)瀏覽下面的相關(guān)文章希望大家以后多多支持腳本之家！

您可能感興趣的文章: