shiro学习--1、简单的登入和登出

Dear 丶 2022-05-28 03:58 256阅读 0赞

#### **一、简介**    ####

Apache Shiro 是一个强大易用的 Java 安全框架，提供了认证、授权、加密和会话管理等功能，对于任何一个应用程序，Shiro 都可以提供全面的安全管理服务。并且相对于其他安全框架，Shiro 要简单的多。

从Shiro 内部来看下 Shiro 的架构，如下图所示：

![3.png][]

**Subject**：主体，可以看到主体可以是任何可以与应用交互的 “用户”；

**SecurityManager**：相当于 SpringMVC 中的 DispatcherServlet 或者 Struts2 中的 FilterDispatcher；是 Shiro 的心脏；所有具体的交互都通过 SecurityManager 进行控制；它管理着所有 Subject、且负责进行认证和授权、及会话、缓存的管理。

**Authenticator**：认证器，负责主体认证的，这是一个扩展点，如果用户觉得 Shiro 默认的不好，可以自定义实现；其需要认证策略（Authentication Strategy），即什么情况下算用户认证通过了；

**Authrizer**：授权器，或者访问控制器，用来决定主体是否有权限进行相应的操作；即控制着用户能访问应用中的哪些功能；

**Realm**：可以有 1 个或多个 Realm，可以认为是安全实体数据源，即用于获取安全实体的；可以是 JDBC 实现，也可以是 LDAP 实现，或者内存实现等等；由用户提供；注意：Shiro 不知道你的用户 / 权限存储在哪及以何种格式存储；所以我们一般在应用中都需要实现自己的 Realm；

**SessionManager**：如果写过 Servlet 就应该知道 Session 的概念，Session 呢需要有人去管理它的生命周期，这个组件就是 SessionManager；而 Shiro 并不仅仅可以用在 Web 环境，也可以用在如普通的 JavaSE 环境、EJB 等环境；所有呢，Shiro 就抽象了一个自己的 Session 来管理主体与应用之间交互的数据；这样的话，比如我们在 Web 环境用，刚开始是一台 Web 服务器；接着又上了台 EJB 服务器；这时想把两台服务器的会话数据放到一个地方，这个时候就可以实现自己的分布式会话（如把数据放到 Memcached 服务器）；

**SessionDAO**：DAO 大家都用过，数据访问对象，用于会话的 CRUD，比如我们想把 Session 保存到数据库，那么可以实现自己的 SessionDAO，通过如 JDBC 写到数据库；比如想把 Session 放到 Memcached 中，可以实现自己的 Memcached SessionDAO；另外 SessionDAO 中可以使用 Cache 进行缓存，以提高性能；

**CacheManager**：缓存控制器，来管理如用户、角色、权限等的缓存的；因为这些数据基本上很少去改变，放到缓存中后可以提高访问的性能

**Cryptography**：密码模块，Shiro 提高了一些常见的加密组件用于如密码加密 / 解密的。

#### 二、shiro下载    ####

**第一种：**从官网下载（[http://shiro.apache.org/download.html][http_shiro.apache.org_download.html]），然后把其中的jar包放到自己的工程里面即可

注意：不一定要下最新版的，最好是使用稳定版，根据自己的需要下载版本

**第二种：**用maven添加依赖来帮你自动下载jar包，这需要一点Maven的知识（[eclipse下maven项目的创建  
][eclipse_maven_]），pom.xml需要配置如下：

<dependencies>
             
        <dependency>
            <groupId>junit</groupId>
    	<artifactId>junit</artifactId>
    	<version>4.9</version>
        </dependency>
             
        <dependency>
    	<groupId>commons-logging</groupId>
    	<artifactId>commons-logging</artifactId>
    	<version>1.1.3</version>
        </dependency>
        
        <dependency>
    	<groupId>org.apache.shiro</groupId>
    	<artifactId>shiro-core</artifactId>
    	<version>1.3.2</version>
        </dependency>
    </dependencies>

**第三种：**通过GitHub来下载（[https://github.com/apache/shiro][https_github.com_apache_shiro]），一般是最新版本，如下图：

![70][]

#### 三、开始书写简单的登入和登出    ####

1.配置一个简单的用户身份 / 凭据（shiro.ini）：

[users]
    zhangsan=123
    wang=123

2.编写测试用例，具体代码如下：

@Test
    public void shiro() {
        // 1.创建SecurityManager工厂对象，从shiro.ini中读取账号和密码
        Factory<SecurityManager> factory = new IniSecurityManagerFactory("classpath:shiro.ini");
        // 2.创建SecurityManager实例对象
        SecurityManager security = factory.getInstance();
        // 3.将SecurityManager绑定到当前的运行环境中
        SecurityUtils.setSecurityManager(security);
        // 4.创建主体Subject
        Subject subject = SecurityUtils.getSubject();
        // 5.创建登录的令牌
        UsernamePasswordToken token = new UsernamePasswordToken("zhangsan", "123");
        try {
    	// 6.主体登录
    	subject.login(token);
        } catch (Exception e) {
    	System.out.println("认证不通过，"+e);
        }
        //判断是否已经验证通过
        System.out.println("用户是否登录："+subject.isAuthenticated());
        Assert.assertEquals(true, subject.isAuthenticated());
        // 7.主体登出
        subject.logout();
        System.out.println("用户是否登录："+subject.isAuthenticated());
    }

**身份验证的步骤**：

1.  收集用户身份 / 凭证，即如用户名 / 密码；
2.  调用 Subject.login 进行登录，如果失败将得到相应的 AuthenticationException 异常，根据异常提示用户错误信息；否则登录成功；
3.  最后调用 Subject.logout 进行退出操作。

下一篇：[shiro学习--2、使用域（Realm）实现登录验证 ][shiro_--2_Realm_]

[3.png]: /images/20220528/4af7437cc5c24027b3768e58b19099c3.png
[http_shiro.apache.org_download.html]: http://shiro.apache.org/download.html
[eclipse_maven_]: https://blog.csdn.net/yaodieteng1510/article/details/79941419
[https_github.com_apache_shiro]: https://github.com/apache/shiro
[70]: /images/20220528/7a42ef0243d142308f70468c1d4d2976.png
[shiro_--2_Realm_]: https://blog.csdn.net/yaodieteng1510/article/details/79948424