許可權系統：
分配許可權（把對某些安全實體的某些許可權分配給某些人員的過程）
驗證許可權（判斷某個人員或程式對某個安全實體是否擁有某個或某些許可權的過程）
安全實體：比如資料，資源。
許可權：比如檢視，修改

許可權的繼承性：安全實體的包含性，比如大樓裡面的房間。
許可權最近匹配原則：和包含類似，裡面沒有許可權控制，像外層找，找到最近的。
shiro 的作用：認證，授權，加密，會話。

subject:與軟體互動的主體，可以是人，也可以是其他東西。
SecurityManager:shrio框架的心臟，使用者操作subject，但是subject會與SecurityManager進行繫結。
Realms:本質是一個DAO.,shiro 通過Realms 獲取相關的安全資料

Shiro 配置，就是SecurityManager的配置。
ini配置方式：
【main】配置應用程式的SecurityManager 例項以及任何他依賴的元件。其實就是getter/setter方法的呼叫，有自己預設的，我們可以定義自己的。
【users】username=password, rolename1,rolename2,(會根據users自動初始化Realms)
【roles】rolename=permissionDefinition1 .任意的字串。應當使用wildcardPermission，printer:print.(printer,被操作的領域，後者執行的動作)
【urls】
配置都是順序執行的。

身份認證

Principals(身份)
Credentials(憑證)
認證過程：

1.應用程式使用Subject.login方法，傳遞建立好的AuthenticationToken例項。
2.DelegatingSubject 委託應用程式的SecurityManager,開始真正的驗證。
3。SubjectManager 接受token,委託給Authenticator例項(ModularRealmAuthenticator)通過呼叫authenticator.authenticate(token)
4.ModularRealmAuthenticator可以配置AuthenticaionStrategy.啟動Multi-Realm

Shiro的授權

許可權：
角色：
使用者：
許可權API
hasRole(rolename).trueJ結果。
hasRoles(List<> rolenames) [true,false] ,返回陣列
hasAllRoles(collection<> rolenames)
checkRole() checkRoles(),checkRoles()

isPermitted(Permission p)
isPermitted(List perms)
isPermittedAll(Collection perms)
checkPermission(Permission p)
checkPermission(String perm)
checkPermissions(Collection perms)
checkPermissions(String… perms)

基於註解的授權。
@RequiresAuthentication : 要求當前Subject已經在當前的session 中被驗證通過，才能訪問，或呼叫。
@RequiresGuest: 在Session中沒有被驗證或者記住。
@RequiresPermissions(“accont:create”):需要相應的許可權。
@RequiresRoles(“admin”):需要是指定角色
@RequiresUser()

1.應用程式呼叫Subject的hasRole*,checkRole,isPermitted*等方法，傳遞需要的許可權或者角色。
2..DelegatingSubject 委託應用程式的SecurityManager,執行同樣的方法。
3.SecurityManager實現Authorizer介面，ModularRealmAuthorizer例項。它支援協調任何授權操作過程中的一個或多個Realm例項。
4.檢查配置的Realm是否實現了相同的Authorizer介面。如果是，呼叫Realm的hasRole*等相同方法。

PermissionResolver. （可以全域性設定）將字串轉化為Permission例項。

Realms .
shiro的認證過程，最終會交給Realm執行。呼叫Realm的getAuthenticationInfo(token)
1.檢查提交的進行認證的令牌資訊。
2.根據令牌資訊從資料原獲取使用者資訊
3.對使用者資訊進行匹配驗證
4.驗證通過將返回一個封裝了使用者資訊的AuthenticationInfo例項。
5.失敗，就丟擲AuthenticationException異常資訊。

shiro 預設的Realms 認證實現。
SimpleCredentialsMatcher.
jdbcRealm
自定義Realm.一般繼承AuthorizingRealm 實現常用的authentication,authorization.

Shiro的session管理

Subject currentUser = SecurityUtils.getSubject();
Session session = currentUser.getSession();
session.setAttribute(“someKey”, someValue);

Session還有監聽。
Session資料可以持久化到資料庫。
自定義SessionDao 通常繼承AbstractSessionDao.

shiro和springboot的結合