Spring Boot Shiro(一)基礎概念
整理筆記，點滴成河。
下一節：Spring Boot Shiro使用者認證（附原始碼）
shiro （java安全框架）
一、前言
Apache Shiro 是 Java 的一個安全框架。功能強大，使用簡單的Java安全框架，它為開發人員提供一個直觀而全面的認證，授權，加密及會話管理的解決方案。
二 功能特點
Shiro 包含 10 個內容，如下圖：
-
Authentication：身份認證/登入，驗證使用者是不是擁有相應的身份。
-
Authorization：授權，即許可權驗證，驗證某個已認證的使用者是否擁有某個許可權；即判斷使用者是否能做事情，常見的如：驗證某個使用者是否擁有某個角色。或者細粒度的驗證某個使用者對某個資源是否具有某個許可權。
-
Session Manager：會話管理，即使用者登入後就是一次會話，在沒有退出之前，它的所有資訊都在會話中；會話可以是普通 JavaSE 環境的，也可以是如 Web 環境的。
-
Cryptography：加密，保護資料的安全性，如密碼加密儲存到資料庫，而不是明文儲存。
-
Web Support：Web支援，可以非常容易的整合到 web 環境。
-
Caching：快取，比如使用者登入後，其使用者資訊、擁有的角色/許可權不必每次去查，這樣可以提高效率。
-
Concurrency：shiro 支援多執行緒應用的併發驗證，即如在一個執行緒中開啟另一個執行緒，能把許可權自動傳播過去。
-
Testing：提供測試支援。
-
Run As：允許一個使用者假裝為另一個使用者（如果他們允許）的身份進行訪問。
-
Remember Me：記住我，這個是非常常見的功能，即一次登入後，下次再來的話不用登入了。
執行原理
Shiro 執行原理圖1（應用程式角度）如下：
- Subject：主體，代表了當前“使用者”。這個使用者不一定是一個具體的人，與當前應用互動的任何東西都是 Subject，如網路爬蟲，機器人等。所有 Subject 都繫結到 SecurityManager，與 Subject 的所有互動都會委託給 SecurityManager。我們可以把 Subject 認為是一個門面，SecurityManager 才是實際的執行者。
- SecurityManager：安全管理器。即所有與安全有關的操作都會與 SecurityManager 互動，且它管理著所有 Subject。可以看出它是 Shiro 的核心，它負責與後邊介紹的其他元件進行互動，如果學習過 SpringMVC，我們可以把它看成 DispatcherServlet 前端控制器。
- Realm：域。Shiro 從 Realm 獲取安全資料（如使用者、角色、許可權），就是說 SecurityManager 要驗證使用者身份，那麼它需要從 Realm 獲取相應的使用者進行比較以確定使用者身份是否合法，也需要從 Realm 得到使用者相應的角色/許可權進行驗證使用者是否能進行操作。我們可以把 Realm 看成 DataSource，即安全資料來源。
Shiro 執行原理圖2（Shiro 內部架構角度）如下：
-
Subject：主體，可以看到主體可以是任何與應用互動的“使用者”。
-
SecurityManager：相當於 SpringMVC 中的 DispatcherServlet 或者 Struts2 中的 FilterDispatcher。它是 Shiro 的核心，所有具體的互動都通過 SecurityManager 進行控制。它管理著所有 Subject、且負責進行認證和授權、及會話、快取的管理。
-
Authenticator：認證器，負責主體認證的，這是一個擴充套件點，如果使用者覺得 Shiro 預設的不好，我們可以自定義實現。其需要認證策略（Authentication Strategy），即什麼情況下算使用者認證通過了。
-
Authrizer：授權器，或者訪問控制器。它用來決定主體是否有許可權進行相應的操作，即控制著使用者能訪問應用中的哪些功能。
-
Realm：可以有1個或多個 Realm，可以認為是安全實體資料來源，即用於獲取安全實體的。它可以是 JDBC 實現，也可以是 LDAP 實現，或者記憶體實現等。
-
SessionManager：如果寫過 Servlet 就應該知道 Session 的概念，Session 需要有人去管理它的生命週期，這個元件就是 SessionManager。而 Shiro 並不僅僅可以用在 Web 環境，也可以用在如普通的 JavaSE 環境。
-
SessionDAO：DAO 大家都用過，資料訪問物件，用於會話的 CRUD。我們可以自定義 SessionDAO 的實現，控制 session 儲存的位置。如通過 JDBC 寫到資料庫或通過 jedis 寫入 redis 中。另外 SessionDAO 中可以使用 Cache 進行快取，以提高效能。
-
CacheManager：快取管理器。它來管理如使用者、角色、許可權等的快取的。因為這些資料基本上很少去改變，放到快取中後可以提高訪問的效能。
-
Cryptography：密碼模組，Shiro 提高了一些常見的加密元件用於如密碼加密/解密的。
過濾器
當 Shiro 被運用到 web 專案時，Shiro 會自動建立一些預設的過濾器對客戶端請求進行過濾。以下是 Shiro 提供的過濾器：
注意：
anon，authcBasic，auchc，user 是認證過濾器。
perms，roles，ssl，rest，port 是授權過濾器。
下一節：Spring Boot Shiro使用者認證（附原始碼）