有時候覺得‘如約而至’是個多麼美好的詞，等的很辛苦，卻不辜負。——《匿名》

1、引言

傳統許可權管理使用基於url攔截的許可權管理方式，實現起來比較簡單，不依賴框架，使用web提供filter就可以實現。但是這種方式存在問題，需要將將所有的url全部配置到xml中起來，有些繁瑣，不易維護，url(資源)和許可權表示方式不規範。

shiro是apache的一個開源框架，是一個許可權管理的框架，實現 使用者認證、使用者授權。

spring中有spring security (原名Acegi)，是一個許可權框架，它和spring依賴過於緊密，沒有shiro使用簡單。

shiro不依賴於spring，shiro不僅可以實現 web應用的許可權管理，還可以實現c/s系統，分散式系統許可權管理，shiro屬於輕量框架，越來越多企業專案開始使用shiro。使用shiro實現系統的許可權管理，有效提高開發效率，從而降低開發成本。

2、shiro架構

• subject：主體，可以是使用者也可以是程式，主體要訪問系統，系統需要對主體進行認證、授權。

• securityManager：安全管理器，主體進行認證和授權都是通過securityManager進行。

• authenticator：認證器，主體進行認證最終通過authenticator進行的。

• authorizer：授權器，主體進行授權最終通過authorizer進行的。

• sessionManager：web應用中一般是用web容器對session進行管理，shiro也提供一套 - session管理的方式。

• SessionDao： 通過SessionDao管理session資料，針對個性化的session資料儲存需要使用sessionDao。

• cache Manager：快取管理器，主要對session和授權資料進行快取，比如將授權資料通過cacheManager進行快取管理，和ehcache整合對快取資料進行管理。

• realm：域，領域，相當於資料來源，通過realm存取認證、授權相關資料。

注意：在realm中儲存授權和認證的邏輯。

• cryptography：密碼管理，提供了一套加密/解密的元件，方便開發。比如提供常用的雜湊、加/解密等功能。比如 md5雜湊演算法。

3、shiro認證

1、首先構造securityManager環境。
2、呼叫subject.login方法主體提交認證，提交的token。
3、securityManager進行認證，securityManager最終由ModularRealmAuthenticator進行認證。
4、ModularRealmAuthenticator呼叫IniRealm(給realm傳入token) 去ini配置檔案中查詢使用者資訊
5、IniRealm根據輸入的token（UsernamePasswordToken）從 shiro-first.ini查詢使用者資訊，根據賬號查詢使用者資訊（賬號和密碼）
如果查詢到使用者資訊，就給ModularRealmAuthenticator返回使用者資訊（賬號和密碼）
如果查詢不到，就給ModularRealmAuthenticator返回null
6、ModularRealmAuthenticator接收IniRealm返回Authentication認證資訊
如果返回的認證資訊是null，ModularRealmAuthenticator丟擲異常（org.apache.shiro.authc.UnknownAccountException）

如果返回的認證資訊不是null（說明inirealm找到了使用者），對IniRealm返回使用者密碼 （在ini檔案中存在）和 token中的密碼 進行對比，如果不一致丟擲異常（org.apache.shiro.authc.IncorrectCredentialsException）

程式碼演示如下：

shiro-first.ini
#對使用者資訊進行配置
[user]
#使用者賬號和密碼
zhangsan=111111
lisi=222222

// 使用者登陸和退出
    @Test
    public void testLoginAndLogout() {
        // 建立securityManager工廠，通過ini配置檔案建立securityManager工廠
        Factory<SecurityManager> factory = new IniSecurityManagerFactory(
                "classpath:shiro-first.ini");

        //建立SecurityManager
        SecurityManager securityManager = factory.getInstance();

        //將securityManager設定當前的執行環境中
        SecurityUtils.setSecurityManager(securityManager);

        //從SecurityUtils裡邊建立一個subject
        Subject subject = SecurityUtils.getSubject();

        //在認證提交前準備token（令牌）
        UsernamePasswordToken token = new UsernamePasswordToken("zhangsan", "111111");

        try {
            //執行認證提交
            subject.login(token);
        } catch (AuthenticationException e) {
            // TODO Auto-generated catch block
            e.printStackTrace();
        }

        //是否認證通過
        boolean isAuthenticated =  subject.isAuthenticated();

        System.out.println("是否認證通過：" + isAuthenticated);

        //退出操作
        subject.logout();

        //是否認證通過
        isAuthenticated =  subject.isAuthenticated();

        System.out.println("是否認證通過：" + isAuthenticated);
    }

4、shiro授權

演算法流程：
1、構造SecurityManager環境後，對subject進行授權，呼叫方法isPermitted（”permission串”）
2、SecurityManager執行授權，通過ModularRealmAuthorizer執行授權
3、ModularRealmAuthorizer執行realm（自定義的CustomRealm）從資料庫查詢許可權資料
呼叫realm的授權方法：doGetAuthorizationInfo

4、realm從資料庫查詢許可權資料，返回ModularRealmAuthorizer
5、ModularRealmAuthorizer呼叫PermissionResolver進行許可權串比對
6、如果比對後，isPermitted中”permission串”在realm查詢到許可權資料中，說明使用者訪問permission串有許可權，否則沒有許可權，丟擲異常。

4.1 Shiro 支援三種方式的授權：

• （1）程式設計式：通過寫if/else 授權程式碼塊完成：

Subject subject = SecurityUtils.getSubject();
if(subject.hasRole(“admin”)) {
//有許可權
} else {
//無許可權
}

• （2）註解式：通過在執行的Java方法上放置相應

@RequiresRoles("admin")
public void hello() {
//有許可權
}

• （3）JSP/GSP 標籤：在JSP/GSP 頁面通過相應的標籤完成：

<shiro:hasRole name="admin">
<!— 有許可權—>
</shiro:hasRole>

4.2 shiro-permission.ini內容

shiro-permission.ini裡邊的內容相當於在資料庫查詢。

#使用者
[users]
#使用者zhang的密碼是123，此使用者具有role1和role2兩個角色
zhang=123,role1,role2
wang=123,role2

#許可權
[roles]
#角色role1對資源user擁有create、update許可權
role1=user:create,user:update
#角色role2對資源user擁有create、delete許可權
role2=user:create,user:delete
#角色role3對資源user擁有create許可權
role3=user:create

許可權識別符號號規則：資源:操作:例項(中間使用半形:分隔)
user：create:01 表示對使用者資源的01例項進行create操作。
user:create：表示對使用者資源進行create操作，相當於user:create:*，對所有使用者資源例項進行create操作。

user：*：01 表示對使用者資源例項01進行所有操作。

4.3 演算法步驟演示