1 什么是shiro
shiro是apache的一个开源框架,是一个权限管理的框架,实现 用户认证、用户授权。
spring中有spring security (原名Acegi),是一个权限框架,它和spring依赖过于紧密,没有shiro使用简单。
shiro不依赖于spring,shiro不仅可以实现 web应用的权限管理,还可以实现c/s系统,分布式系统权限管理,shiro属于轻量框架,越来越多企业项目开始使用shiro。
使用shiro实现系统 的权限管理,有效提高开发效率,从而降低开发成本。
2 shiro架构
subject:主体,可以是用户也可以是程序,主体要访问系统,系统需要对主体进行认证、授权。
securityManager:安全管理器,主体进行认证和授权都 是通过securityManager进行。
authenticator:认证器,主体进行认证最终通过authenticator进行的。
authorizer:授权器,主体进行授权最终通过authorizer进行的。
sessionManager:web应用中一般是用web容器对session进行管理,shiro也提供一套session管理的方式。
SessionDao: 通过SessionDao管理session数据,针对个性化的session数据存储需要使用sessionDao。
cache Manager:缓存管理器,主要对session和授权数据进行缓存,比如将授权数据通过cacheManager进行缓存管理,和ehcache整合对缓存数据进行管理。
realm:域,领域,相当于数据源,通过realm存取认证、授权相关数据。
注意:在realm中存储授权和认证的逻辑。
cryptography:密码管理,提供了一套加密/解密的组件,方便开发。比如提供常用的散列、加/解密等功能。
比如 md5散列算法。
3 shiro认证入门程序
配置数据:
3.1 入门程序代码
// 用户登陆和退出 @Test public void testLoginAndLogout() { // 创建securityManager工厂,通过ini配置文件创建securityManager工厂 Factory<SecurityManager> factory = new IniSecurityManagerFactory( "classpath:shiro-first.ini"); //创建SecurityManager SecurityManager securityManager = factory.getInstance(); //将securityManager设置当前的运行环境中 SecurityUtils.setSecurityManager(securityManager); //从SecurityUtils里边创建一个subject Subject subject = SecurityUtils.getSubject(); //在认证提交前准备token(令牌) UsernamePasswordToken token = new UsernamePasswordToken("zhangsan", "111111"); try { //执行认证提交 subject.login(token); } catch (AuthenticationException e) { // TODO Auto-generated catch block e.printStackTrace(); } //是否认证通过 boolean isAuthenticated = subject.isAuthenticated(); System.out.println("是否认证通过:" + isAuthenticated); //退出操作 subject.logout(); //是否认证通过 isAuthenticated = subject.isAuthenticated(); System.out.println("是否认证通过:" + isAuthenticated); }
3.2执行流程
1、通过ini配置文件创建securityManager
2、调用subject.login方法主体提交认证,提交的token
3、securityManager进行认证,securityManager最终由ModularRealmAuthenticator进行认证。
4、ModularRealmAuthenticator调用IniRealm(给realm传入token) 去ini配置文件中查询用户信息
5、IniRealm根据输入的token(UsernamePasswordToken)从 shiro-first.ini查询用户信息,根据账号查询用户信息(账号和密码)
如果查询到用户信息,就给ModularRealmAuthenticator返回用户信息(账号和密码)
如果查询不到,就给ModularRealmAuthenticator返回null
6、ModularRealmAuthenticator接收IniRealm返回Authentication认证信息
如果返回的认证信息是null,ModularRealmAuthenticator抛出异常(org.apache.shiro.authc.UnknownAccountException)
如果返回的认证信息不是null(说明inirealm找到了用户),对IniRealm返回用户密码 (在ini文件中存在)和 token中的密码 进行对比,如果不一致抛出异常(org.apache.shiro.authc.IncorrectCredentialsException)
小结:
ModularRealmAuthenticator作用进行认证,需要调用realm查询用户信息(在数据库中存在用户信息)
ModularRealmAuthenticator进行密码对比(认证过程)。
realm:需要根据token中的身份信息去查询数据库(入门程序使用ini配置文件),如果查到用户返回认证信息,如果查询不到返回null。
4 自定义realm
将来实际开发需要realm从数据库中查询用户信息。
4.1 自定义realm
4.2 配置realm
需要在shiro-realm.ini配置realm注入到securityManager中。
5 散列算法
通常需要对密码 进行散列,常用的有md5、sha,
对md5密码,如果知道散列后的值可以通过穷举算法,得到md5密码对应的明文。
建议对md5进行散列时加salt(盐),进行加密相当 于对原始密码+盐进行散列。
正常使用时散列方法:
在程序中对原始密码+盐进行散列,将散列值存储到数据库中,并且还要将盐也要存储在数据库中。
如果进行密码对比时,使用相同 方法,将原始密码+盐进行散列,进行比对。
5.1 md5散列测试程序:
5.2自定义realm支持散列算法
需求:实际开发时realm要进行md5值(明文散列后的值)的对比。
5.2.1 新建realm(CustomRealmMd5)
5.2.2 在realm中配置凭证匹配器
相关推荐
Shiro入门实例 Shiro入门教程 Shiro框架学习demo http://www.xttblog.com/?p=669 权限管理教程。Shiro是一个强大易用的Java安全框架,提供了认证、授权、加密和会话管理等功能。 Shiro可以在任何环境下运行,小到最...
Shiro基础教程-跟着开哥学Shiro Web或Standalone Application Security Framework
shiro教程shiro教程shiro教程shiro教程shiro教程shiro教程shiro教程shiro教程
Shiro全面教程 shiro入门 shiro使用 非常好的shiro教程
主要是shiro的基础教程,也是从别人那转载来的
SpringMVC Shiro 入门项目简介: 项目采用 SpringMVC、Shiro、Redis、Mybatis、MySQL 等技术架构,搭建最基本的权限认证与管理系统项目搭建操作步骤: 权限数据库模型:1 权限架构描述一个用户可以拥有多个角色一个角色...
Shiro是一个强大且易用的Java平台的开源权限框架,用于身份验证、授权、加解密和会话管理,它使用简单,可以快速、轻松地让任何应用程序获得如下需求的支持: (1)用户,角色,权限,资源; (2)用户分配角色,...
第二章:Shiro入门 包括:是什么、能干什么、有什么、高层概览架构、完整架构、HelloWorld 第三章:Shiro的配置 包括:程序配置、ini配置的方式(包括各个部分的配置)、权限字符串方式等 第四章:Shiro的身份认证...
Shiro与SSM整合(内含详细文档介绍)Shiro与SSM整合(内含详细文档介绍)Shiro与SSM整合(内含详细文档介绍)
java开源的权限控制框架,简单易学,非常适合新手入门。
shiro+activity ssm实现权限管理系统,加请假流程审批工作流 角色、用户、权限管理...视频演示【框架】Shiro入门教程+工作流 权限管理 快速入门】https://www.bilibili.com/video/BV1t7411m7kr/?share_source=copy_web
NULL 博文链接:https://zhaoshijie.iteye.com/blog/2204395
跟我学shiro系列的教程,看了,真心不错,从基础到实例都挺不错的,从书中说明的地址可以下载到相应的源代码
apache shiro 教程,包含详细的说明,从入门开始讲解,希望各位努力下载
教程视频:Apache Shiro是一个强大且易用的Java安全框架,执行身份验证、授权、密码和会话管理
Apache Shiro+SpringMVC+Hibernate Search+Hibernate+Bootstrap企业信息管理系统基础框架搭建整合实例代码教程
shiro代码及入门教程