什么是Shiro

Shiro 是一個(gè)強(qiáng)大靈活的開源安全框架，可以完全處理身份驗(yàn)證、授權(quán)、加密和會(huì)話管理

Shiro的核心功能包括：

• 身份驗(yàn)證（Authentication）：驗(yàn)證用戶的身份，確保用戶是合法的。
• 授權(quán)（Authorization）：控制用戶對(duì)系統(tǒng)資源的訪問權(quán)限，限制用戶只能訪問其被授權(quán)的部分。
• 會(huì)話管理（Session Management）：管理用戶會(huì)話，跟蹤用戶的登錄狀態(tài)和活動(dòng)，并提供會(huì)話的持久化支持。
• 密碼加密（Cryptography）：提供密碼加密和解密的支持，確保用戶的密碼在存儲(chǔ)和傳輸過程中的安全性。
• Web支持：提供與Web應(yīng)用程序集成的支持，包括集成主流Web框架（如Spring、Struts）和處理Web請(qǐng)求的過濾器等。

Shiro主要組件及相互作用：

1. Subject（主體）：
   • Subject 表示當(dāng)前正在與應(yīng)用程序交互的用戶。可以是一個(gè)人、設(shè)備或其他系統(tǒng)實(shí)體。
   • Subject 封裝了用戶的身份和相關(guān)的安全操作，如登錄、注銷、權(quán)限檢查等。
2. SecurityManager（安全管理器）：
   • SecurityManager 是 Shiro 的核心組件，負(fù)責(zé)協(xié)調(diào)和管理所有的安全操作。
   • SecurityManager 管理一個(gè)或多個(gè) Realms，用于進(jìn)行身份驗(yàn)證和授權(quán)。
3. Realm（域）：
   • Realm 是連接 Shiro 和安全數(shù)據(jù)源（如數(shù)據(jù)庫(kù)、LDAP 等）的橋梁。
   • Realm 負(fù)責(zé)從數(shù)據(jù)源中獲取用戶的身份和權(quán)限信息，并提供給 SecurityManager 進(jìn)行驗(yàn)證和授權(quán)操作。
4. Authenticator（身份驗(yàn)證器）：
   • Authenticator 負(fù)責(zé)對(duì)用戶進(jìn)行身份驗(yàn)證。
   • Authenticator 使用 Realm 獲取用戶的身份信息，并將其與用戶提供的憑據(jù)進(jìn)行比較，以確定用戶是否合法。
5. Authorizer（授權(quán)器）：
   • Authorizer 負(fù)責(zé)對(duì)用戶進(jìn)行授權(quán)，確定用戶是否有權(quán)訪問特定資源。
   • Authorizer 使用 Realm 獲取用戶的角色和權(quán)限信息，并與應(yīng)用程序定義的角色和權(quán)限進(jìn)行匹配，以決定用戶是否被授權(quán)訪問資源。
6. SessionManager（會(huì)話管理器）：
   • SessionManager 負(fù)責(zé)管理用戶的會(huì)話。
   • SessionManager 創(chuàng)建、維護(hù)和關(guān)閉用戶會(huì)話，并提供會(huì)話的持久化支持。
7. SessionDAO（會(huì)話數(shù)據(jù)訪問對(duì)象）：
   • SessionDAO 是用于會(huì)話數(shù)據(jù)的讀取和存儲(chǔ)的接口。
   • SessionDAO 與數(shù)據(jù)庫(kù)或其他存儲(chǔ)介質(zhì)交互，將會(huì)話數(shù)據(jù)持久化或從持久化存儲(chǔ)中讀取會(huì)話數(shù)據(jù)。

這些組件相互協(xié)作，形成了 Shiro 的安全框架。Subject 通過 SecurityManager 進(jìn)行身份驗(yàn)證和授權(quán)操作，SecurityManager 使用 Realm 獲取用戶的身份和權(quán)限信息。而我們需要實(shí)現(xiàn)Realms的Authentication 和 Authorization。Authenticator 負(fù)責(zé)身份驗(yàn)證，Authorizer 負(fù)責(zé)授權(quán)，SessionManager 負(fù)責(zé)會(huì)話管理。SessionDAO 則提供會(huì)話數(shù)據(jù)的讀取和存儲(chǔ)支持。通過這

種相互作用，Shiro 提供了完善的安全功能，保護(hù)應(yīng)用程序的安全性。

Shiro 認(rèn)證過程：

1. 用戶提交身份信息：用戶在應(yīng)用程序的登錄頁(yè)面輸入用戶名和密碼，并提交身份信息。
2. Subject 提交身份信息：應(yīng)用程序接收到用戶提交的身份信息后，將其封裝為 Subject 對(duì)象。
3. SecurityManager 開始認(rèn)證：SecurityManager 是 Shiro 的核心組件，負(fù)責(zé)協(xié)調(diào)和管理所有的安全操作。它接收到 Subject 提交的身份信息后，開始進(jìn)行身份驗(yàn)證。
4. SecurityManager 調(diào)用 Authenticator 進(jìn)行身份驗(yàn)證：SecurityManager 會(huì)調(diào)用配置好的 Authenticator 進(jìn)行身份驗(yàn)證。
5. Authenticator 獲取身份信息：Authenticator 使用 Realm（可能是單個(gè) Realm 或多個(gè) Realm 的組合）從數(shù)據(jù)源中獲取用戶的身份信息。
6. Realm 獲取用戶身份信息：Realm 是連接 Shiro 和安全數(shù)據(jù)源的橋梁。它根據(jù)配置的方式（如數(shù)據(jù)庫(kù)、LDAP 等）獲取用戶的身份信息。
7. Authenticator 進(jìn)行身份匹配：Authenticator 將用戶提交的身份信息和 Realm 獲取到的用戶身份信息進(jìn)行匹配，以確定用戶是否合法。
8. 認(rèn)證結(jié)果返回給 SecurityManager：Authenticator 將認(rèn)證結(jié)果（通過或失?。┓祷亟o SecurityManager。
9. SecurityManager 處理認(rèn)證結(jié)果：SecurityManager 根據(jù)認(rèn)證結(jié)果，如果認(rèn)證成功，則將用戶標(biāo)記為已認(rèn)證狀態(tài)，并將用戶的身份信息存儲(chǔ)在 Subject 中供以后使用。如果認(rèn)證失敗，則拋出相應(yīng)的異常。
10. 認(rèn)證結(jié)果返回給應(yīng)用程序：SecurityManager 將認(rèn)證結(jié)果返回給應(yīng)用程序，應(yīng)用程序可以根據(jù)認(rèn)證結(jié)果決定如何處理。

Shiro 授權(quán)過程：

1. 用戶發(fā)起訪問請(qǐng)求： 用戶在應(yīng)用程序中發(fā)起對(duì)某個(gè)資源的訪問請(qǐng)求，例如訪問一個(gè)特定的 URL 或執(zhí)行某個(gè)操作。
2. Subject 發(fā)起授權(quán)請(qǐng)求： Subject 對(duì)象封裝了當(dāng)前用戶的身份信息和相關(guān)的安全操作。當(dāng)用戶發(fā)起訪問請(qǐng)求時(shí)，Subject 對(duì)象會(huì)將授權(quán)請(qǐng)求發(fā)送給 SecurityManager。
3. SecurityManager 開始授權(quán)： SecurityManager 是 Shiro 的核心組件，負(fù)責(zé)協(xié)調(diào)和管理所有的安全操作。它接收到 Subject 的授權(quán)請(qǐng)求后，開始進(jìn)行授權(quán)處理。
4. SecurityManager 調(diào)用 Authorizer 進(jìn)行授權(quán)： SecurityManager 會(huì)調(diào)用配置好的 Authorizer 進(jìn)行授權(quán)操作。
5. Authorizer 獲取用戶角色和權(quán)限信息： Authorizer 使用 Realm（可能是單個(gè) Realm 或多個(gè) Realm 的組合）從數(shù)據(jù)源中獲取當(dāng)前用戶的角色和權(quán)限信息。
6. Authorizer 進(jìn)行角色和權(quán)限匹配： Authorizer 將用戶的角色和權(quán)限信息與應(yīng)用程序定義的角色和權(quán)限進(jìn)行匹配，以確定用戶是否有權(quán)訪問請(qǐng)求的資源。
7. 授權(quán)結(jié)果返回給 SecurityManager： Authorizer 將授權(quán)結(jié)果（允許訪問或拒絕訪問）返回給 SecurityManager。
8. SecurityManager 處理授權(quán)結(jié)果： SecurityManager 根據(jù)授權(quán)結(jié)果，如果授權(quán)成功，則允許用戶訪問請(qǐng)求的資源。如果授權(quán)失敗，則拋出相應(yīng)的異常或采取其他處理措施。
9. 授權(quán)結(jié)果返回給應(yīng)用程序： SecurityManager 將授權(quán)結(jié)果返回給應(yīng)用程序，應(yīng)用程序可以根據(jù)授權(quán)結(jié)果決定如何處理用戶的訪問請(qǐng)求。

到此這篇關(guān)于Shiro安全框架的主要組件及認(rèn)證過程簡(jiǎn)介的文章就介紹到這了,更多相關(guān)Shiro安全框架內(nèi)容請(qǐng)搜索腳本之家以前的文章或繼續(xù)瀏覽下面的相關(guān)文章希望大家以后多多支持腳本之家！

最新評(píng)論