Shiro

Shiro最重要的两个功能为：认证和授权

Shiro是一个Java平台的开源权限框架，用于认证和访问授权。具体来说，满足对如下元素的支持：

• 用户，角色，权限（仅仅是操作权限，数据权限必须与业务需求紧密结合），资源（url）。
• 用户分配角色，角色定义权限。
• 访问授权时支持角色或者权限，并且支持多级的权限定义。

在shiro架构中，有3个最主要的组件：Subject，SecurityManager，Realm。
Subject本质上就是当前访问用户的抽象描述。
SecurityManager是Shiro架构中最核心的组件，通过它可以协调其他组件完成用户认证和授权。实际上，SecurityManager就是Shiro框架的控制器。
Realm定义了访问数据的方式，用来连接不同的数据源，如：LDAP，关系数据库，配置文件等等。

认证流程：

 

授权流程：

==================================================================================================================

最简单的认证授权的代码如下：

package com.shiro;

import org.apache.shiro.SecurityUtils;
import org.apache.shiro.authc.UsernamePasswordToken;
import org.apache.shiro.mgt.DefaultSecurityManager;
import org.apache.shiro.mgt.SecurityManager;
import org.apache.shiro.realm.SimpleAccountRealm;
import org.apache.shiro.subject.Subject;
import org.springframework.stereotype.Component;

/**
 * description:
 * author: Wangys
 * Date: 2018-11-23
 */
@Component
public class ShiroTest {

    SimpleAccountRealm realm = new SimpleAccountRealm();

    public void setAccount() {
        realm.addAccount("Summer", "password", "admin");
    }

    public void testShiro() {

        // 构建SecurityManager环境
        DefaultSecurityManager manager = new DefaultSecurityManager();
        manager.setRealm(realm);

        // 主体提交认证请求
        SecurityUtils.setSecurityManager(manager);
        Subject subject = SecurityUtils.getSubject();
        UsernamePasswordToken token = new UsernamePasswordToken("Summer", "password");

        subject.login(token);
        // 认证
        subject.isAuthenticated();
        // 授权
        subject.checkRoles("admin");
    } 
}

下面我们看下认证与授权调用的具体实现方法

授权：hasRoles方法点下去调用的是AuthorizingRealm中的checkRoles()方法

认证调用的是AuthenticatingSecurityManager中的authenticate()方法 ，AuthenticatingSecurityManager继承RealmSecurityManager

继续点击去调用的是ModularRealmAuthenticator中的认证方法

所以认证与授权都是以Realm为主体来实现的。