Apache Shiro Java 安全框架核心用法及组件详解

核心组件

1. Subject（主体）：代表当前操作的'用户'，可能是实际用户、程序或定时任务等。通过 SecurityUtils.getSubject() 获取当前 Subject，所有安全操作（如登录、权限校验）都通过 Subject 触发。
2. SecurityManager（安全管理器）：Shiro 的'大脑'，负责协调所有安全组件（认证、授权、会话等），是 Shiro 的核心调度中心。开发者无需直接操作 SecurityManager，只需通过 Subject 间接调用其功能。
3. Realm（领域）：Shiro 的'数据源接口'，负责从数据库、缓存、配置文件等地方获取用户信息（如账号密码、权限列表）。认证时，Realm 提供用户的真实凭证；授权时，Realm 提供用户的权限集合。自定义 Realm 是 Shiro 灵活适配业务的关键。
4. Authenticator（认证器）：对用户登录时进行身份认证，验证用户提供的凭证是否与系统存储的凭证一致。
5. Authorizer（授权器）：用户通过认证器认证通过后，在访问功能时需要通过授权器判断用户是否有此功能的操作权限。
6. SessionManager（会话管理器）：管理用户会话的组件，适用于 Web 以及非 Web 的环境。
7. CacheManager（缓存管理器）：管理用户身份、权限、角色等的缓存，以提高访问性能。
8. Cryptography（加密管理器）：提供加密方式的设计及管理，保护数据的安全性。

基本用法

1. 环境搭建
   • 添加依赖：在项目的 pom.xml 文件中添加 Shiro 的依赖，如 shiro-core、shiro-web 等。
   • 配置文件：可以通过 INI 文件、XML 文件或数据库等方式配置用户信息、角色信息和权限信息。
2. 登录认证
   • 收集用户身份、凭证（如用户名、密码）。
   • 调用 Subject.login 方法进行登录，如果失败将得到相应的 AuthenticationException 异常，根据异常提示用户错误信息；否则登录成功。
   • 创建自定义的 Realm 类，继承 org.apache.shiro.realm.AuthenticatingRealm 类，实现 doGetAuthenticationInfo() 方法，用于从数据源中获取用户信息进行认证。
3. 角色授权
   • 定义角色和权限：在配置文件中或通过编程方式定义角色和权限。
   • 检查用户角色：使用 Subject.hasRole() 方法检查用户是否拥有某个角色。
   • 自定义 Realm 授权：继承 org.apache.shiro.realm.AuthorizingRealm 类，实现 doGetAuthorizationInfo() 方法，用于从数据源中获取用户角色信息进行授权。
4. 权限授权
   • 定义权限：权限通常表示为'资源：操作'的格式，如'user:add'表示新增用户的权限。
   • 检查用户权限：使用 Subject.isPermitted() 方法检查用户是否拥有某个权限。
5. 加密解密
   • Shiro 提供了多种加密算法，如 MD5、SHA 等，用于密码加密存储到数据库，而不是明文存储。
   • 使用 SimpleHash 类进行加密操作，可以指定加密算法、盐值、迭代次数等参数。

示例代码

1. 登录认证示例

import org.apache.shiro.SecurityUtils;
 org.apache.shiro.authc.AuthenticationException;
 org.apache.shiro.authc.UsernamePasswordToken;
 org.apache.shiro.config