Shiro安全框架快速入门

雨点打透心脏的1/2处 2022-10-29 03:27 290阅读 0赞

# Shiro安全框架入门 #

### 文章目录 ###

*  Shiro安全框架入门
 *   *  一、权限框架设计之ACL和RBAC讲解
     *   *  1. 权限控制概念
         *  2. ACL和RBAC的概念
     *  二、主流权限框架介绍
     *  三、Apache Shiro基础概念知识和架构讲解
     *   *  1. Shiro四大核心模块
         *  2. 访问Shiro的权限控制运行流程和常见名称讲解
     *  四、Springboot2整合Shiro快速上手
     *   *  1. Shrio的认证流程
         *  2. Shrio的授权流程
         *  3. Shiro授权常用Api
     *  五、Shiro realm实战
     *   *  1. realm讲解和常见使用方法
         *  2. Shiro内置IniRealm的使用
         *  3. Shiro内置 JdbcRealm的使用
         *  4. 自定义Realm的使用
         *  5. Shiro认证和授权流程的源码解读
         *   *  （1）认证流程解读
             *  （2）授权流程解读
     *  六、Shiro权限认证Web案例知识点
     *   *  1. Shiro内置的过滤器
         *  2. Shiro过滤器配置路径讲解
         *  3. Shiro数据加解密
         *  4. 权限控制的注解方式和编程方式
         *   *  (1) 注解方式
             *  (2) 编程方式
         *  5. Shiro缓存模块
         *  6. Shiro Session模块讲解

## 一、权限框架设计之ACL和RBAC讲解 ##

### 1. 权限控制概念 ###

*  什么是权限控制：
    
     *  让指定的用户/程序，只能操作指定的资源（CRUD）

### 2. ACL和RBAC的概念 ###

*  ACL: Access Control List 访问控制列表
    
     *  以前盛行的一种权限设计，它的核心在于用户直接和权限挂钩
     *  优点：简单易用，开发便捷
     *  缺点：用户和权限直接挂钩，导致在授予时的复杂性，比较分散，不便于管理
     *  例子：常见的文件系统权限设计, 直接给用户加权限，比如Linux的每个文件夹对每个用户都有不同的权限
 *  RBAC: Role Based Access Control
    
     *  对用户进行分类，每一类用户有不同的权限，而不是将权限直接授予用户
     *  优点：简化了用户与权限的管理，通过对用户进行分类，使得角色与权限关联起来
 *  缺点：开发对比ACL相对复杂
    
     *  例子：基于RBAC模型的权限验证框架与应用 Apache Shiro、spring Security

区分Shiro中的用户、角色、权限：

用户：user，即一个一个的用户

角色：role，即上述所说的类，用户属于某一角色

权限：赋予权限给角色，而不是直接赋予用户

## 二、主流权限框架介绍 ##

*  什么是 spring Security
    
        Spring 项目组中用来提供安全认证服务的框架
 *  什么是 Apache Shiro
    
        Shiro是一个强大易用的Java安全框架,提供了认证、授权、加密和会话管理等功能
 *  两个优缺点，应该怎么选择
    
     *  Apache Shiro比Spring Security , 前者使用更简单
     *  Shiro 功能强大、 简单、灵活， 不跟任何的框架或者容器绑定，可以独立运行
     *  Spring Security 对Spring 体系支持比较好，脱离Spring体系则很难开发
     *  SpringSecutiry 支持Oauth鉴权，Shiro需要自己实现

## 三、Apache Shiro基础概念知识和架构讲解 ##

### 1. Shiro四大核心模块 ###

**认证，授权，加密和会话管理**

*  什么是身份认证
    
     *  Authentication，身份认证，一般就是登录
 *  什么是授权
    
     *  Authorization，给用户分配角色或者访问某些资源的权限
 *  什么是会话管理
    
     *  Session Management, 用户的会话管理员，多数情况下是web session
 *  什么是加密
    
     *  Cryptography, 数据加解密，比如密码加解密等

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80OTM0MzE5MA_size_16_color_FFFFFF_t_70]

### 2. 访问Shiro的权限控制运行流程和常见名称讲解 ###

![\[外链图片转存失败,源站可能有防盗链机制,建议将图片保存下来直接上传(img-N0Eqxx7M-1612754593233)(http://shiro.apache.org/assets/images/ShiroArchitecture.png)\]][img-N0Eqxx7M-1612754593233_http_shiro.apache.org_assets_images_ShiroArchitecture.png]

*  Subject
    
     *  把用户或者程序称为主体（如用户，第三方服务，cron作业），主体去访问系统或者资源
 *  SecurityManager
    
     *  安全管理器，Subject的认证和授权等都要在安全管理器下进行
 *  Authenticator
    
     *  认证器，主要负责Subject的认证
 *  Realm
    
     *  数据域，Shiro和安全数据的连接器，通过realm获取认证授权相关信息
 *  Authorizer
    
     *  授权器，主要负责Subject的授权, 控制subject拥有的角色或者权限
 *  Cryptography
    
     *  加解密，Shiro的包含易于使用和理解的数据加解密方法，简化了很多复杂的api
 *  Cache Manager
    
     *  缓存管理器，比如认证或授权信息，通过缓存进行管理，提高性能

## 四、Springboot2整合Shiro快速上手 ##

*  创建SpringBoot项目并整合相关jar包

<dependency>
        <groupId>org.apache.shiro</groupId>
        <artifactId>shiro-spring</artifactId>
        <version>1.4.0</version>
    </dependency>

### 1. Shrio的认证流程 ###

认证：用户身份识别，俗称为用户“登录”

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80OTM0MzE5MA_size_16_color_FFFFFF_t_70 1]

执行login方法，此方法底层调用3，3会调用4，4会调用5，最终通过Realm获取到认证信息

过程分析：创建两个对象，Realm和SecurityManager，Realm中放入认证信息；SecurityManager中放入Realm；创建出的Security要放入SecurityUtils中

public class QuickStartTest4_2 { 
    
        //创建Realm，存放数据域和认证相关信息
        private SimpleAccountRealm accountRealm = new SimpleAccountRealm();
    
        //用于构建SecurityManager环境
        private DefaultSecurityManager defaultSecurityManager = new DefaultSecurityManager();
    
        @Before
        public void init() { 
            //初始化Realm中的数据源，定义认证授权相关信息
            accountRealm.addAccount("jack", "456");
    
            //构建环境
            defaultSecurityManager.setRealm(accountRealm);
        }
    
        @Test
        public void testAuthentication() { 
    
            //构建环境
            SecurityUtils.setSecurityManager(defaultSecurityManager);
    
            //创建操作主体
            Subject subject = SecurityUtils.getSubject();
    
            //用户输入的账号密码，和Realm中的一致
            UsernamePasswordToken usernamePasswordToken =
                    new UsernamePasswordToken("jack", "456");
    
            //认证，调用此方法即执行认证
            subject.login(usernamePasswordToken);
    
            System.out.println("认证结果:"+subject.isAuthenticated()); //true
        }
    }

### 2. Shrio的授权流程 ###

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80OTM0MzE5MA_size_16_color_FFFFFF_t_70 2]

和上述相同，调用授权方法之后底层自动调用到Realm进行授权

### 3. Shiro授权常用Api ###

//是否有对应的角色，返回boolean
    subject.hasRole()
    
    //获取subject名，即用户名
    subject.getPrincipal()
    
    //检查是否有对应的角色，无返回值，若无角色会报错
    subject.checkRole()
    
    //检查是否具有对应的权限，无返回值，若无权限会报错
    subject.checkPermission()
    
    //是否有对应的权限，返回boolean
    subject.isPermitted()
        
    //是否通过认证
    subject.isAuthenticated()
    
    //退出登录
    subject.logout();

public class QuickStartTest4_3 { 
    
        private SimpleAccountRealm accountRealm = new SimpleAccountRealm();
    
        private DefaultSecurityManager defaultSecurityManager = new DefaultSecurityManager();
    
        @Before
        public void init() { 
            //初始化数据源，给Jack用户赋予root用户和管理员的角色
            accountRealm.addAccount("Jack", "123","root","admin");
    
            //构建环境
            defaultSecurityManager.setRealm(accountRealm);
        }
    
    
        @Test
        public void testAuthentication() { 
    
            SecurityUtils.setSecurityManager(defaultSecurityManager);
    
            //当前操作主体
            Subject subject = SecurityUtils.getSubject();
    
            //用户输入的账号密码
            UsernamePasswordToken usernamePasswordToken = new UsernamePasswordToken("Jack", "123");
    
            subject.login(usernamePasswordToken);
    
            System.out.println(" 认证结果:" + subject.isAuthenticated()); //true
    
            System.out.println(" 此用户是否有对应的root角色:"+subject.hasRole("root")); //true
            System.out.println(" 此用户是否有对应的管理员角色:"+subject.hasRole("admin")); //true
    
            System.out.println(" 操作主题Subject的名字是：" + subject.getPrincipal()); //Jack
    
            subject.logout();
    
            System.out.println("logout后认证结果:"+subject.isAuthenticated()); //false
    
        }
    }

## 五、Shiro realm实战 ##

### 1. realm讲解和常见使用方法 ###

*  realm作用：Shiro 从 Realm 获取安全数据
 *  两个概念
    
     *  principal : 主体的标示，可以有多个，但是需要具有唯一性，常见的有用户名，手机号，邮箱等
     *  credential：凭证, 一般就是密码
     *  所以一般 principal + credential 就是账号 + 密码
 *  开发中，往往是自定义realm , 即继承 AuthorizingRealm

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80OTM0MzE5MA_size_16_color_FFFFFF_t_70 3]

### 2. Shiro内置IniRealm的使用 ###

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80OTM0MzE5MA_size_16_color_FFFFFF_t_70 4]

1.  shiro.ini文件中定义用户、角色、权限等信息

#定义用户及其对应的角色，格式：用户=密码, 角色1, 角色2, ...
    
    [users]
    jack = 456, user, visitor
    rose = 123, visitor, damin
    
    #定义角色的权限，格式：角色=模块名:权限名, 模块名:权限名, ...
    #可以使用通配符*，表示所有权限
    
    [roles]
    #表示user角色拥有对video模块的查询和购买的权限
    user = video:find,video:buy
    #表示visitor角色拥有对goods模块的所有权限
    visitor = goods:*
    #表示admin角色拥有对所有模块的所有权限
    admin = *

1.  测试

@Test
        public void testAuthentication() { 
    
            IniRealm iniRealm = new IniRealm("classpath:shiro.ini");
    
            //构建SecurityManager环境
            DefaultSecurityManager defaultSecurityManager = new DefaultSecurityManager();
            defaultSecurityManager.setRealm(iniRealm);
            SecurityUtils.setSecurityManager(defaultSecurityManager);
    
            //创建操作主体
            Subject subject = SecurityUtils.getSubject();
    
            //用户的账号和密码
            UsernamePasswordToken usernamePasswordToken = new UsernamePasswordToken("jack", "456");
            subject.login(usernamePasswordToken);
    
            System.out.println(" 认证结果:"+subject.isAuthenticated()); //true
    
            System.out.println(" 是否有对应的user角色:"+subject.hasRole("user")); //true
    
            System.out.println(" 操作主体是：" + subject.getPrincipal()); //jack
    
            System.out.println( "是否有video:find 权限："+ subject.isPermitted("video:find")); //true
    
            System.out.println( "是否有video:delete 权限："+ subject.isPermitted("video:delete")); //false
        }

### 3. Shiro内置 JdbcRealm的使用 ###

**方式一：使用配置文件**

JdbcRealm默认的数据库查询语句：

![在这里插入图片描述][20210208112935112.png]

如果不指定查询语句，则使用的用户、角色、权限数据库表必须满足上述名称

users表

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80OTM0MzE5MA_size_16_color_FFFFFF_t_70 5]

user\_roles表

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80OTM0MzE5MA_size_16_color_FFFFFF_t_70 6]

roles\_permissions表

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80OTM0MzE5MA_size_16_color_FFFFFF_t_70 7]

1.  jdbcrealm.ini配置文件

#声明Realm，指定realm类型
    jdbcRealm=org.apache.shiro.realm.jdbc.JdbcRealm
    
    #配置数据源
    dataSource=com.alibaba.druid.pool.DruidDataSource
    dataSource.driverClassName=com.mysql.cj.jdbc.Driver
    dataSource.url=jdbc:mysql://120.76.62.13:3606/xdclass_shiro?characterEncoding=UTF-8&serverTimezone=UTC&useSSL=false
    dataSource.username=root
    dataSource.password=root
    
    #指定数据源
    jdbcRealm.dataSource=$dataSource
    
    #手动开启查找权限，默认不开启
    jdbcRealm.permissionsLookupEnabled=true
    
    #指定SecurityManager的Realms实现，多个用逗号隔开
    securityManager.realms=$jdbcRealm

1.  测试

@Test
    public void testAuthentication() { 
        //创建SecurityManager工厂，通过配置文件ini创建
        Factory<SecurityManager> factory = new IniSecurityManagerFactory("classpath:jdbcrealm.ini");
        SecurityManager securityManager = factory.getInstance();
        //将securityManager设置到当前运行环境中
        SecurityUtils.setSecurityManager(securityManager);
        //创建操作主体
        Subject subject = SecurityUtils.getSubject();
        //调用方法测试
    }

**方式二：不使用配置文件**

@Test
        public void test2(){ 
    
            //配置数据库连接
            DruidDataSource ds = new DruidDataSource();
            ds.setDriverClassName("com.mysql.cj.jdbc.Driver");
            ds.setUrl("jdbc:mysql://120.76.62.13:3606/xdclass_shiro?characterEncoding=UTF-8&serverTimezone=UTC&useSSL=false");
            ds.setUsername("root");
            ds.setPassword("root");
    
            //配置SecurityManager环境
            DefaultSecurityManager securityManager = new DefaultSecurityManager();
    
            JdbcRealm jdbcRealm = new JdbcRealm();
            jdbcRealm.setPermissionsLookupEnabled(true); //手动开启查找权限，默认不开启
            jdbcRealm.setDataSource(ds);
            
            securityManager.setRealm(jdbcRealm);
            SecurityUtils.setSecurityManager(securityManager);
    
            //创建操作主体
            Subject subject = SecurityUtils.getSubject();
            //调用方法进行测试
        }

**配置不使用默认数据库表**

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80OTM0MzE5MA_size_16_color_FFFFFF_t_70 8]

### 4. 自定义Realm的使用 ###

*  步骤：
    
     *  创建一个类 ，继承AuthorizingRealm
     *  重写授权方法 doGetAuthorizationInfo
     *  重写认证方法 doGetAuthenticationInfo
 *  方法：
    
     *  当用户登陆的时候会自动调用 doGetAuthenticationInfo，即调用subject.login()时
     *  进行权限校验的时候会自动调用: doGetAuthorizationInfo，即调用subject中的是否有权限、是否有角色等方法时
 *  对象介绍
    
     *  UsernamePasswordToken ： 对应就是主体的Principal和Credential，即账号、密码
        
         *      UsernamePasswordToken-》HostAuthenticationToken-》AuthenticationToken
     *  SimpleAuthorizationInfo：代表用户角色权限信息
     *  SimpleAuthenticationInfo ：代表该用户的认证信息
 *  案例讲解

public class CustomRealm extends AuthorizingRealm { 
    
        /** * 用户登录时会自动调用 * * @param token 前端传来的用户信息，根据其中的用户名去数据库查找对应的密码 * @return SimpleAuthenticationInfo对象，其中封装了用户的账号密码，从而判断是否登陆成功 */
        @Override
        protected AuthenticationInfo doGetAuthenticationInfo(AuthenticationToken token) throws AuthenticationException { 
    
            //从token获取用户名，token代表用户输入的信息
            String name = (String) token.getPrincipal();
    
            //从数据库中取密码
            String pwd = getPwdByUserNameFromDB(name);
    
            if (pwd == null || "".equals(pwd)) { 
                return null; //表示登陆不成功，会报错
            }
    
            SimpleAuthenticationInfo simpleAuthenticationInfo =
                    new SimpleAuthenticationInfo(name, pwd, this.getName());
    
            return simpleAuthenticationInfo;
        }
    
        /** * 进行权限校验时会自动调用 * * @param principals 用户的名称 * @return SimpleAuthorizationInfo对象，其中封装了用户的权限、角色等信息 */
        @Override
        protected AuthorizationInfo doGetAuthorizationInfo(PrincipalCollection principals) { 
    
            //得到用户名
            String name = (String) principals.getPrimaryPrincipal();
    
            //根据用户名从数据库查询权限
            Set<String> permissions = getPermissionsByNameFromDB(name);
    
            //根据用户名从数据库查询所属角色
            Set<String> roles = getRolesByNameFromDB(name);
    
            SimpleAuthorizationInfo simpleAuthorizationInfo = new SimpleAuthorizationInfo();
    
            simpleAuthorizationInfo.setRoles(roles);
            simpleAuthorizationInfo.setStringPermissions(permissions);
    
            return simpleAuthorizationInfo;
        }
    }

测试

public class QuickStartTest5_4 { 
        
        private CustomRealm customRealm = new CustomRealm();
        private DefaultSecurityManager defaultSecurityManager = new DefaultSecurityManager();
    
        @Before
        public void init(){ 
            //构建环境
            defaultSecurityManager.setRealm(customRealm);
            SecurityUtils.setSecurityManager(defaultSecurityManager);
        }
    
    
        @Test
        public void testAuthentication() { 
            //获取当前操作的主体
            Subject subject = SecurityUtils.getSubject();
    
            //用户输入的账号密码
            UsernamePasswordToken usernamePasswordToken = new UsernamePasswordToken("jack", "1236");
            subject.login(usernamePasswordToken);
            //调用方法进行测试
        }
    }

### 5. Shiro认证和授权流程的源码解读 ###

#### （1）认证流程解读 ####

调用subject.login(usernamePasswordToken)：
    	DelegatingSubject->login()
    	DefaultSecurityManager->login()
    	AuthenticatingSecurityManager->authenticate()
    	AbstractAuthenticator->authenticate()
    	ModularRealmAuthenticator->doAuthenticate()
    	ModularRealmAuthenticator->doSingleRealmAuthentication()
    	AuthenticatingRealm->getAuthenticationInfo()

getAuthenticationInfo()源码如下：

public final AuthenticationInfo getAuthenticationInfo(AuthenticationToken token) throws AuthenticationException { 
        AuthenticationInfo info = this.getCachedAuthenticationInfo(token);
        if (info == null) { 
            info = this.doGetAuthenticationInfo(token);
            log.debug("Looked up AuthenticationInfo [{}] from doGetAuthenticationInfo", info);
            if (token != null && info != null) { 
                this.cacheAuthenticationInfoIfPossible(token, info);
            }
        } else { 
            log.debug("Using cached authentication info [{}] to perform credentials matching.", info);
        }
    
        if (info != null) { 
            this.assertCredentialsMatch(token, info);
        } else { 
            log.debug("No AuthenticationInfo found for submitted AuthenticationToken [{}]. Returning null.", token);
        }
    
        return info;
    }

此方法首先根据传递进来的AuthenticationToken对象从缓存中取出信息，第一次缓存中没有信息；故调用doGetAuthenticationInfo方法，此方法为实现此方法的自定义CustomRealm类中的方法

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80OTM0MzE5MA_size_16_color_FFFFFF_t_70 9]

得到返回的SimpleAuthorizationInfo对象，并将其添加到缓存中

源码退回上一层

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80OTM0MzE5MA_size_16_color_FFFFFF_t_70 10]

其余流程可自行debug观察

#### （2）授权流程解读 ####

调用subject.checkRole()：
    	DelegatingSubject->checkRole()
    	AuthorizingSecurityManager->checkRole()
    	ModularRealmAuthorizer->checkRole()
    	AuthorizingRealm->hasRole()
    	AuthorizingRealm->doGetAuthorizationInfo()

## 六、Shiro权限认证Web案例知识点 ##

### 1. Shiro内置的过滤器 ###

*  核心过滤器类：DefaultFilter

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80OTM0MzE5MA_size_16_color_FFFFFF_t_70 11]

*  authc：FormAuthenticationFilter
    
     *  需要认证登录才能访问
 *  user：UserFilter
    
     *  用户拦截器，表示必须存在用户
 *  anon：AnonymousFilter
    
     *  匿名拦截器，不需要登录即可访问的资源
 *  roles：RolesAuthorizationFilter
    
     *  角色授权拦截器，验证用户是否属于角色
     *  参数可写多个，写法：roles\[“admin,user”\]，必须每个参数都通过才算通过
 *  perms：PermissionsAuthorizationFilter
    
     *  权限授权拦截器，验证用户是否拥有权限
     *  参数可写多个，写法：perms\[“user, admin”\]，必须每个参数都通过才算通过
 *  authcBasic：BasicHttpAuthenticationFilter
    
     *  httpBasic 身份验证拦截器
 *  logout：LogoutFilter
    
     *  退出拦截器，执行后会跳转到`shiroFilterFactoryBean.setLoginUrl()`设置的 url
 *  port：PortFilter
    
     *  端口拦截器, 表示可通过的端口
 *  ssl：SslFilter
    
     *  ssl拦截器，只有请求协议是https才能通过

### 2. Shiro过滤器配置路径讲解 ###

? : 匹配一个字符，如 /user? 将匹配 /user3，但不匹配 /user/
    * : 匹配零个或多个字符串，如 /add*将匹配 /addtest，但不匹配 /user/1
    ** : 匹配路径中的零个或多个路径，如 /user/** 将匹配 /user/xxx 或 /user/xxx/yyy
    
    例子，配置哪个路径对应哪个拦截器进行处理
    /user/**=filter1
    /user/add=filter2
    
    注意：
     1. 请求 /user/add 命中的是filter1拦截器，因为filter1先配置，根据优先原则得出
     2. 通配符比字符串匹配会复杂点，所以性能也会稍弱，推荐是使用字符串匹配方式

### 3. Shiro数据加解密 ###

*  为什么要加解密
    
     *  数据库中的明文数据容易泄露，比如密码明文存储，万一泄露则会造成严重后果
 *  什么是散列算法
    
     *  一般叫hash，简单的说就是一种将任意长度的消息压缩到某一固定长度的消息摘要的函数，适合存储密码，比如MD5
 *  什么是salt(盐)
    
     *  就是通过给加密数据添加一些数据使得密码更加难以破解；如果直接通过散列函数得到加密数据，容易被对应解密网站暴力破解，一般会在应用程序里面加特殊的字符进行处理，比如用户id，例子：加密数据 = MD5(明文密码+用户id), 破解难度会更大，也可以使用多重散列，比如多次md5
 *  Shiro中使用 CredentialsMatcher进行验证密码是否正确
 *  注意：MD5加密指的是对数据库中的数据加密，将数据加密(可选加盐)后存入数据库，从数据库读出的也是解密后的数据
    
        HashedCredentialsMatcher hashedCredentialsMatcher = new 		HashedCredentialsMatcher();
        
        //散列算法，使用MD5算法;
        hashedCredentialsMatcher.setHashAlgorithmName("md5");
        
        //散列的次数，比如散列两次，相当于 md5(md5("xxx"));
        hashedCredentialsMatcher.setHashIterations(2);
        
        //CustomRealm是之前自定义的Realm
        CustomRealm.setCredentialsMatcher(HashedCredentialsMatcher);
    
    在重写的doGetAuthenticationInfo方法中声明使用的盐(若未使用盐则无需此步骤)：
    
        simpleAuthenticationInfo.setCredentialsSalt(ByteSource.Utils.bytes("使用的盐"));
        
        return simpleAuthenticationInfo

### 4. 权限控制的注解方式和编程方式 ###

#### (1) 注解方式 ####

**使用在controller中的方法上**

*  @RequiresRoles(value=\{“admin”, “editor”\}, logical= Logical.AND)
    
     *  需要角色 admin 和 editor两个角色 AND表示两个同时成立才可访问此接口
 *  @RequiresPermissions (value=\{“user:add”, “user:del”\}, logical= Logical.OR)
    
     *  需要权限 user:add 或 user:del权限其中一个才可访问此接口

*  @RequiresAuthentication
    
     *  已经授权过的才可访问此接口，授权过即调用Subject.isAuthenticated()返回true
 *  @RequiresUser
    
     *  验证用户是否被记忆，User有两种含义：
        
        一种是成功登录的（subject.isAuthenticated() 结果为true）
        
        另外一种是被记忆的（subject.isRemembered()结果为true）
    
    ![在这里插入图片描述][20210208113303319.png]

#### (2) 编程方式 ####

即上述所使用的获取到subject对象，进而调用其中的API

### 5. Shiro缓存模块 ###

*  什么是shiro缓存
    
     *  shiro中提供了对认证信息和授权信息的缓存
        
         *  默认是关闭认证信息缓存的，因为登录的次数较少，且由于缓存和真实数据有一定的延迟，若用户修改密码，缓存得不到及时的修改，认证的安全性会降低
         *  对于授权信息的缓存shiro默认开启的，因为授权的数据量大
 *  AuthenticatingRealm 类提供了对AuthenticationInfo 信息的缓存
 *  AuthorizingRealm 类提供了对AuthorizationInfo 信息的缓存

### 6. Shiro Session模块讲解 ###

*  什么是会话session
    
     *  用户和程序直接的链接，程序可以根据session识别到哪个用户，和javaweb中的session类似
 *  什么是会话管理器SessionManager
    
     *  会话管理器管理所有subject的所有操作，是shiro的核心组件
     *  核心方法：
    
        //开启一个session
        Session start(SessionContext context);
        //指定Key获取session
        Session getSession(SessionKey key)
    
     *  shiro中的会话管理器有多个实现
 *  SessionDao 会话存储/持久化
    
     *  核心方法
        
            //创建
            Serializable create(Session session);
            //获取
            Session readSession(Serializable sessionId) throws UnknownSessionException;
            //更新
            void update(Session session) 
            //删除，会话过期时会调用
            void delete(Session session);
            //获取活跃的session
            Collection<Session> getActiveSessions();
     *  会话存储有多个实现

[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80OTM0MzE5MA_size_16_color_FFFFFF_t_70]: /images/20221024/f4c5ffdfb3574de9b44f72b19aa05a22.png
[img-N0Eqxx7M-1612754593233_http_shiro.apache.org_assets_images_ShiroArchitecture.png]: /images/20221024/780c9af271234bcd80568e6de683485d.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80OTM0MzE5MA_size_16_color_FFFFFF_t_70 1]: /images/20221024/9895091879234cf58eb5d936a5658acc.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80OTM0MzE5MA_size_16_color_FFFFFF_t_70 2]: /images/20221024/29dcd045b42d4091bed7a6e850b40e01.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80OTM0MzE5MA_size_16_color_FFFFFF_t_70 3]: /images/20221024/f95ad4a4ab9b480294462573acc7bfae.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80OTM0MzE5MA_size_16_color_FFFFFF_t_70 4]: /images/20221024/dc574d17ca71411cad388d314a071a81.png
[20210208112935112.png]: /images/20221024/b86cd6ac6ce94fc78028a3060bb075f4.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80OTM0MzE5MA_size_16_color_FFFFFF_t_70 5]: /images/20221024/307f9e41711e49489883eb8be1d247c7.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80OTM0MzE5MA_size_16_color_FFFFFF_t_70 6]: /images/20221024/34e287f445f841c2b20914291b044c17.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80OTM0MzE5MA_size_16_color_FFFFFF_t_70 7]: /images/20221024/66dfa4158922466e8735bd697e16b2a3.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80OTM0MzE5MA_size_16_color_FFFFFF_t_70 8]: /images/20221024/d1e0ae421474412a8ffc4a0836758c2a.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80OTM0MzE5MA_size_16_color_FFFFFF_t_70 9]: /images/20221024/ff05c423483547639370304841abf3c7.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80OTM0MzE5MA_size_16_color_FFFFFF_t_70 10]: /images/20221024/a970d4a19d6141ea8809e5884e81c331.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80OTM0MzE5MA_size_16_color_FFFFFF_t_70 11]: /images/20221024/dd878ab9a42c427c8e2e1ee36eb780f1.png
[20210208113303319.png]: /images/20221024/79bd6bfdb34f43d49318b70ac1f0d735.png