Shiro是一個強大的簡單易用的Java安全框架，主要用來更便捷的認證，授權，加密，會話管理。Shiro首要的和最重要的目標就是容易使用並且容易理解。

Shiro的特性

Shiro是一個有許多特性的全面的安全框架，下面這幅圖可以瞭解Shiro的特性：

1. Authentication：身份認證/登入，驗證使用者是不是擁有相應的身份。
2. Authorization：授權，即許可權驗證，驗證某個已認證的使用者是否擁有某個許可權；即判斷使用者是否能做事情，常見的如：驗證某個使用者是否擁有某個角色。或者細粒度的驗證某個使用者對某個資源是否具有某個許可權。
3. Session Manager：會話管理，即使用者登入後就是一次會話，在沒有退出之前，它的所有資訊都在會話中；會話可以是普通 JavaSE 環境的，也可以是如 Web 環境的。
4. Cryptography：加密，保護資料的安全性，如密碼加密儲存到資料庫，而不是明文儲存。
5. Web Support：Web支援，可以非常容易的整合到 web 環境。
6. Caching：快取，比如使用者登入後，其使用者資訊、擁有的角色/許可權不必每次去查，這樣可以提高效率。
7. Concurrency：shiro 支援多執行緒應用的併發驗證，即如在一個執行緒中開啟另一個執行緒，能把許可權自動傳播過去。
8. Testing：提供測試支援。
9. Run As：允許一個使用者假裝為另一個使用者（如果他們允許）的身份進行訪問。
10. Remember Me：記住我，這個是非常常見的功能，即一次登入後，下次再來的話不用登入了。 2.2 執行原理

1. Subject：主體，代表了當前“使用者”。這個使用者不一定是一個具體的人，與當前應用互動的任何東西都是 Subject，如網路爬蟲，機器人等。所有 Subject 都繫結到 SecurityManager，與 Subject 的所有互動都會委託給 SecurityManager。我們可以把 Subject 認為是一個門面，SecurityManager 才是實際的執行者。
2. SecurityManager：安全管理器。即所有與安全有關的操作都會與 SecurityManager 互動，且它管理著所有 Subject。可以看出它是 Shiro 的核心，它負責與後邊介紹的其他元件進行互動，如果學習過 SpringMVC，我們可以把它看成 DispatcherServlet 前端控制器。
3. Realm：域。Shiro 從 Realm 獲取安全資料（如使用者、角色、許可權），就是說 SecurityManager 要驗證使用者身份，那麼它需要從 Realm 獲取相應的使用者進行比較以確定使用者身份是否合法，也需要從 Realm 得到使用者相應的角色/許可權進行驗證使用者是否能進行操作。我們可以把 Realm 看成 DataSource，即安全資料來源。

Shiro 執行原理圖及內部架構如圖下：

1. Subject：主體，可以看到主體可以是任何與應用互動的“使用者”。
2. SecurityManager：相當於 SpringMVC 中的 DispatcherServlet 或者 Struts2 中的 FilterDispatcher。它是 Shiro 的核心，所有具體的互動都通過 SecurityManager 進行控制。它管理著所有 Subject、且負責進行認證和授權、及會話、快取的管理。
3. Authenticator：認證器，負責主體認證的，這是一個擴充套件點，如果使用者覺得 Shiro 預設的不好，我們可以自定義實現。其需要認證策略（Authentication Strategy），即什麼情況下算使用者認證通過了。
4. Authrizer：授權器，或者訪問控制器。它用來決定主體是否有許可權進行相應的操作，即控制著使用者能訪問應用中的哪些功能。
5. Realm：可以有1個或多個 Realm，可以認為是安全實體資料來源，即用於獲取安全實體的。它可以是 JDBC 實現，也可以是 LDAP 實現，或者記憶體實現等。
6. SessionManager：如果寫過 Servlet 就應該知道 Session 的概念，Session 需要有人去管理它的生命週期，這個元件就是 SessionManager。而 Shiro 並不僅僅可以用在 Web 環境，也可以用在如普通的 JavaSE 環境。
7. SessionDAO：DAO 大家都用過，資料訪問物件，用於會話的 CRUD。我們可以自定義 SessionDAO 的實現，控制 session 儲存的位置。如通過 JDBC 寫到資料庫或通過 jedis 寫入 redis 中。另外 SessionDAO 中可以使用 Cache 進行快取，以提高效能。
8. CacheManager：快取管理器。它來管理如使用者、角色、許可權等的快取的。因為這些資料基本上很少去改變，放到快取中後可以提高訪問的效能。
9. Cryptography：密碼模組，Shiro 提高了一些常見的加密元件用於如密碼加密/解密的。

過濾器

ssl 	|org.apache.shiro.web.filter.authz.SslFilter
user 	|org.apache.shiro.web.filter.authc.UserFilter
複製程式碼

logout |org.apache.shiro.web.filter.authc.LogoutFilter noSessionCreation |org.apache.shiro.web.filter.session.NoSessionCreationFilter

  /admins/**=auth               # 表示該 uri 需要認證才能訪問
  /admins/**=authcBasic         # 表示該 uri 需要 httpBasic 認證
  /admins/**=perms[user:add:*]  # 表示該 uri 需要認證使用者擁有 user:add:* 許可權才能訪問
  /admins/**=port[8081]         # 表示該 uri 需要使用 8081 埠
  /admins/**=rest[user]         # 相當於 /admins/**=perms[user:method]，其中，method 表示  get、post、delete 等
  /admins/**=roles[admin]       # 表示該 uri 需要認證使用者擁有 admin 角色才能訪問
  /admins/**=ssl                # 表示該 uri 需要使用 https 協議
  /admins/**=user               # 表示該 uri 需要認證或通過記住我認證才能訪問
  /logout=logout                # 表示登出,可以當作固定配置
注意：
anon，authcBasic，auchc，user 是認證過濾器。
perms，roles，ssl，rest，port 是授權過濾器。

複製程式碼

創一個建Shiro專案 pom.xml中新增如下依賴：

<dependencies>
     <dependency> 
        <groupId>org.apache.shiro</groupId>
        <artifactId>shiro-core</artifactId> 
        <version>1.2.3</version> 
    </dependency>
   <dependency>
      <groupId>org.slf4j</groupId> 
      <artifactId>slf4j-simple</artifactId>
      <version>1.6.1</version> 
  </dependency> 
</dependencies>

複製程式碼

配置檔案

在 src/main/resources 目錄下建立名為 shiro.ini 的配置檔案，內容如下

    [users]
    # admin=admin 分別表示賬號和密碼，administrator 表示逗號前邊的賬號擁有 administrator 這個角色。
    admin=admin,administrator
    zhangsan=zhangsan,manager
    lisi=lisi,guest

    [roles]
    # administrator 表示角色名稱，* 表示這個角色擁有所有許可權
    administrator=*
    manager=user:*,department:*
    guest=user:query,department:query
複製程式碼

測試類

    public class ShiroTest {

        @Test
        public void test() {

            // 讀取 shiro.ini 檔案內容
            Factory<SecurityManager> factory = new IniSecurityManagerFactory("classpath:shiro.ini");
            SecurityManager securityManager = factory.getInstance();
            SecurityUtils.setSecurityManager(securityManager);

            Subject currentUser = SecurityUtils.getSubject();

            Session session = currentUser.getSession();
            session.setAttribute("someKey","aValue");
            String value = (String) session.getAttribute("someKey");
            if (value.equals("aValue")) {
                System.out.println("someKey 的值：" + value);
            }

            // 登陸
            UsernamePasswordToken token = new UsernamePasswordToken("zhangsan","zhangsan");
            token.setRememberMe(true);
            try {
                currentUser.login(token);
            } catch (UnknownAccountException uae) {
                System.out.println("使用者名稱不存在:" + token.getPrincipal());
            } catch (IncorrectCredentialsException ice) {
                System.out.println("賬戶密碼 " + token.getPrincipal()  + " 不正確!");
            } catch (LockedAccountException lae) {
                System.out.println("使用者名稱 " + token.getPrincipal() + " 被鎖定 !");
            }
            
            // 認證成功後
            if (currentUser.isAuthenticated()) {
                
                System.out.println("使用者 " + currentUser.getPrincipal() + " 登陸成功！");
                
                //測試角色
                System.out.println("是否擁有 manager 角色：" + currentUser.hasRole("manager"));
                
                //測試許可權
                System.out.println("是否擁有 user:create 許可權" + currentUser.isPermitted("user:create"));
                
                //退出
                currentUser.logout();
            }

        }
    }

複製程式碼

使用註解進行使用者進行授權校驗

在使用 Shiro 的註解之前，請確保專案中已經新增支援 AOP 功能的相關 jar 包。常用註解如下：

    @RequiresRoles( "manager" )      # 角色校驗
    public String save() {
        //TODO
    }
    @RequiresPermissions("user:manage")  # 許可權檢驗
    public String delete() {
          //TODO
    }

複製程式碼

自定義 Realm

上邊的程式使用的是 Shiro 自帶的 IniRealm，而 IniRealm 從 ini 配置檔案中讀取使用者的資訊，大部分情況下需要從系統的資料庫中讀取使用者資訊，所以需要自定義 realm。

    public class CustomRealm extends AuthorizingRealm {

        /**
         * 認證
         */
        @Override
        protected AuthenticationInfo doGetAuthenticationInfo(AuthenticationToken token) throws AuthenticationException {
            // 從 token 中獲取使用者身份資訊
            String username = (String) token.getPrincipal();
            // 通過 username 從資料庫中查詢
        
            // 如果查詢不到則返回 null
            if(!username.equals("zhangsan")){//這裡模擬查詢不到
                return null;
            }
            
            //獲取從資料庫查詢出來的使用者密碼 
            String dbPassword = "zhangsan";//這裡使用靜態資料模擬
            
            //返回認證資訊由父類 AuthenticatingRealm 進行認證
            SimpleAuthenticationInfo simpleAuthenticationInfo = new SimpleAuthenticationInfo(username,dbPassword,getName());

            return simpleAuthenticationInfo;
        }
        
        /**
         * 授權
         */
        @Override
        protected AuthorizationInfo doGetAuthorizationInfo(PrincipalCollection principals) {
            // 獲取身份資訊
            String username = (String) principals.getPrimaryPrincipal();
            // 根據身份資訊從資料庫中查詢許可權資料
            // 這裡使用靜態資料模擬
            List<String> permissions = new ArrayList<String>();
            permissions.add("user:*");
            permissions.add("department:*");
            
            // 將許可權資訊封閉為AuthorizationInfo
            SimpleAuthorizationInfo simpleAuthorizationInfo = new SimpleAuthorizationInfo();
            // 模擬資料，新增 manager 角色
            simpleAuthorizationInfo.addRole("manager");
            
            for(String permission:permissions){
                simpleAuthorizationInfo.addStringPermission(permission);
            }
            
            return simpleAuthorizationInfo;
        }

    }

複製程式碼

在 src/main/resources 目錄下建立 shiro-realm.ini 檔案，內容如下：

    [main]
    #自定義 realm
    customRealm=com.light.shiroTest.realm.CustomRealm
    #將realm設定到securityManager
    securityManager.realms=$customRealm

複製程式碼

與 Spring 整合

新增依賴

    <dependency>
        <groupId>org.apache.shiro</groupId>
        <artifactId>shiro-core</artifactId>
        <version>1.4.0</version>
    </dependency>
    <dependency>
        <groupId>org.apache.shiro</groupId>
        <artifactId>shiro-spring</artifactId>
        <version>1.4.0</version>
    </dependency>

複製程式碼

配置檔案

web.xml ：

    <filter>
        <filter-name>shiroFilter</filter-name>
        <filter-class>org.springframework.web.filter.DelegatingFilterProxy</filter-class>
        <init-param>
            <param-name>targetFilterLifecycle</param-name>
            <param-value>true</param-value>
        </init-param>
    </filter>

    <filter-mapping>
        <filter-name>shiroFilter</filter-name>
        <url-pattern>/*</url-pattern>
    </filter-mapping>

複製程式碼

application-shiro.xml：

    <bean id="shiroFilter" class="org.apache.shiro.spring.web.ShiroFilterFactoryBean">
        <!-- 必須設定 -->
        <property name="securityManager" ref="securityManager"/>
        <!-- 3 個 url 屬性為可選設定 -->
        <property name="loginUrl" value="/login.jsp"/>
        <property name="successUrl" value="/home.jsp"/>
        <property name="unauthorizedUrl" value="/unauthorized.jsp"/>
        <property name="filterChainDefinitions">
            <value>
                <!-- 對靜態資源設定匿名訪問 -->
                /resources/** = anon
                /login = anon
                <!-- /** = authc 所有url都必須認證通過才可以訪問-->
                /** = authc
            </value>
        </property>
    </bean>

    <!-- 安全管理器 -->
    <bean id="securityManager" class="org.apache.shiro.web.mgt.DefaultWebSecurityManager">
        <property name="realm" ref="customRealm" />
    </bean>

    <!-- 自定義 realm -->
    <bean id="customRealm" class="com.light.ac.web.realm.CustomRealm"></bean>

    <!-- 保證實現了Shiro內部lifecycle函式的bean執行 -->
    <bean id="lifecycleBeanPostProcessor" class="org.apache.shiro.spring.LifecycleBeanPostProcessor" />

複製程式碼

其中，application-shiro.xml 中的 shiroFilter 名字和 web.xml 檔案中的 shiroFilter是對應的，必須一致。 anon 和 authc 對應上文提到的過濾器。

CustomRealm 類：

    public class CustomRealm extends AuthorizingRealm {

        @Autowired
        private UserService userService;
        
        @Autowired
        private PermissionService permissionService;
        
        /**
         * 認證
         */
        @Override
        protected AuthenticationInfo doGetAuthenticationInfo(AuthenticationToken token) throws AuthenticationException {
            // 獲取使用者名稱
            String userName = (String) token.getPrincipal();
            // 通過使用者名稱獲取使用者物件
            User user = this.userService.findUserByUserName(userName);
            
            if (user == null) {
                return null;
            }
            
            // 通過 userId 獲取該使用者擁有的所有許可權，返回值根據自己需求編寫，並非固定值。
            Map<String,List<Permission>> permissionMap = this.permissionService.getPermissionMapByUserId(user.getId());
            
            // （目錄+選單，分層級，用於前端 jsp 遍歷）
            user.setMenuList(permissionMap.get("menuList"));
            // （目錄+選單+按鈕，用於後端許可權判斷）
            user.setPermissionList(permissionMap.get("permissionList"));
            
            SimpleAuthenticationInfo info = new SimpleAuthenticationInfo(user,user.getPassword(),this.getName());
            
            return info;
        }
        
        /**
         * 授權
         */
        @Override
        protected AuthorizationInfo doGetAuthorizationInfo(PrincipalCollection principals) {
            User user = (User) principals.getPrimaryPrincipal();
            
            SimpleAuthorizationInfo info = new SimpleAuthorizationInfo();
            
            // （目錄+選單+按鈕，用於後端許可權判斷）
            List<Permission> permissionList = user.getPermissionList();
            
            for (Permission permission : permissionList) {
                if (StringUtil.isNotEmpty(permission.getCode())) {
                    info.addStringPermission(permission.getCode());
                }
            }
            
            return info;
        }
    }



複製程式碼