Shiro功能介绍-电子发烧友网

记得做的第一个Web项目，系统认证授权这块就是基于Shiro实现的，当时也是第一次接触到这种类型的框架，同时是基于Spring做的集成，并且相关的配置都已经是定制好的，只需要我们根据项目情况对极少部分配置进行修改即可使用。对于其原理也只是知道个大概，具体实现细节可以说是一无所知。

Shiro作为安全框架，相比其他同类型框架，在整体结构上更显得简单且更易于理解，通过对Shrio的学习，在理解里其实现原理后，对后面学习其他同类型的框架也会有很多帮助。

现在各种框架盛行，为解决企业问题提供了各种优秀的解决方案，使开发者可以快速、简单、高效地搭建开发环境，用起来确实很方便，但是却产生了强烈的依赖性，现在有多少人脱离了框架还能开发出想要的功能？当然，框架我们还是要用的，但是随着学习的不断加深，在出现故障时我们及时定位问题，在当前业务需求不满足时，我们需要快速找到解决方法。

功能介绍

以下是官网的一段话，直接介绍了Shiro能为我们做什么

Apache Shiro是一个功能强大且易于使用的Java安全框架，可执行身份验证、授权、加密和会话管理。

特色

主要功能：

Authentication：身份认证，证明用户是否具有访问系统的身份。
Authorization：访问控制，即确定“谁”可以访问系统的“什么”资源。
Session Management：会话管理，支持Web 或 EJB 应用程序的会话管理。
Cryptography：使用密码算法保持数据安全，主要是密码。
其他功能：
- Web Support:：Shiro 的 Web 支持 API 有助于轻松保护 Web 应用程序。
- Caching：缓存，确保 Apache Shiro API能够快速和高效地操作。
- Concurrency：Apache Shiro 支持多线程应用程序的并发特性。
- Testing：存在测试支持以帮助您编写单元和集成测试，并确保您的代码按预期执行。
- Run As：允许用户假设为另一个用户的身份的获取其功能权限，在管理场景中很有用。
- Remember Me：跨会话记住用户的身份，在登录时指明，省去下次登录的过程。

实现架构

架构

Subject( org.apache.shiro.subject.Subject) 当前与软件交互的实体（用户、第三方服务、cron任务等）的特定的安全性的“视图”。
SecurityManager ( org.apache.shiro.mgt.SecurityManager ) SecurityManager是Shiro架构的核心。它主要是一个综合的大对象，用于协调其托管组件以确保它们顺利协同工作。它还管理Shiro对每个应用程序用户的视图，因此它知道如何为每个用户执行安全操作。
Authenticator ( org.apache.shiro.authc.Authenticator ) 该Authenticator组件负责执行和响应用户的身份验证过程。当用户尝试登录时，该逻辑由Authenticator实现并执行。Authenticator通过用户配置的多个Realms，按照一定的策略，验证提供的用户是否满足用户身份。
- AuthenticationStrategy ( org.apache.shiro.authc.pam.AuthenticationStrategy ) 当配置了多个Realm时，AuthenticationStrategy将协调调用Realm来确定用户身份验证最终成功或失败（比如有一个验证成功或每个都要验证成功）。
Authorizer ( org.apache.shiro.authz.Authorizer ) 是一个应用访问控制的组件。它是决定用户是否被允许执行某项操作。与Authenticator一样，Authorizer能够协调执行多个Realm来获取用户的访问角色和权限信息。
SessionManager ( org.apache.shiro.session.mgt.SessionManager ) 负责创建和管理用户Session的生命周期。即使没有可用的Web容器，Shiro能够在任何环境中本地管理用户会话。默认情况下是基于Web容器实现会话机制，非Web环境则可以通过内置的会话管理来提供相同的功能。可以通过SessionDAO实现会话的持久化。
- SessionDAO ( org.apache.shiro.session.mgt.eis.SessionDAO ) 实现Session的持久化。
CacheManager ( org.apache.shiro.cache.CacheManager ) 因为Shiro经常访问后端数据源进行身份验证、授权和会话管理，通过缓存可以提高性能。
Cryptography( org.apache.shiro.crypto.* ) 密码学是企业安全框架的扩展。Shiro的crypto包含易于使用和理解的密码、哈希（又名摘要）和不同编解码器实现的实现。Shiro的加密API简化了复杂的Java机制，使密码加密更容易。
Realm ( org.apache.shiro.realm.Realm ) Realm是Shiro和应用程序安全数据之间的“桥梁”。当用户需要对身份进行认证或授权时，Shiro会通过程序中配置的一个或多个Realm来查找满足的数据。Shiro将根据需要与它们协调以进行身份验证和授权。

关键模块

EnvironmentLoaderListener

该类实现了ServletContextListener，因此我们在web.xml中配置后即可启用，主要目的是为了构建Enviroment对象并保存到ServleteContext中。

public class EnvironmentLoaderListener extends EnvironmentLoader implements ServletContextListener {

    public void contextInitialized(ServletContextEvent sce) {
        initEnvironment(sce.getServletContext());
    }

    public void contextDestroyed(ServletContextEvent sce) {
        destroyEnvironment(sce.getServletContext());
    }
}

Environment

Environment是一个Shiro容器，主要目的是提供SecurityManager对象。

public interface Environment {

    SecurityManager getSecurityManager();
}

SecurityManager

SecurityManager是Shiro框架中最核心的类，用户的认证、鉴权都是基于它来完成的，包含认证、会话管理、RememberMe等功能，这也是开发者需要理解并配置较多的类。

public interface SecurityManager extends Authenticator, Authorizer, SessionManager {

    Subject login(Subject subject, AuthenticationToken authenticationToken) throws AuthenticationException;

    void logout(Subject subject);

    Subject createSubject(SubjectContext context);

}

Authenticator

实现了用户的身份认证逻辑，也就是密码校验，注意我们是通过对AuthenticationToken进行认证，在该Token中封装了用户提交的信息，

开发者只需要根据这些信息构建AuthenticationInfo对象，密码的校验过程是有Shiro代理完成的。

public interface Authenticator {

    public AuthenticationInfo authenticate(AuthenticationToken authenticationToken)
            throws AuthenticationException;
}

Authorizer

实现了用户权限的鉴权，包括权限和角色，鉴权过程在整个系统的生命周期中是比较频繁的，我们应该配置CacheManager来提高系统效率，避免频繁的进行DAO操作。

public interface Authorizer {

    boolean isPermitted(PrincipalCollection principals, String permission);

    boolean isPermittedAll(PrincipalCollection subjectPrincipal, String... permissions);

    void checkPermission(PrincipalCollection subjectPrincipal, String permission) throws AuthorizationException;

    boolean hasRole(PrincipalCollection subjectPrincipal, String roleIdentifier);

    boolean hasAllRoles(PrincipalCollection subjectPrincipal, Collection< String > roleIdentifiers);

    void checkRole(PrincipalCollection subjectPrincipal, String roleIdentifier) throws AuthorizationException;
 
 // ...
    
}

SessionManager

会话管理主要是为了实现认证保持，即一次认证成功后基于Cookie/Session机制，使下次会话不需要重复认证。在集群环境中，如果通过容器来管理会话那样就没办法实现会话共享，我们可以通过一些分布式会话管理框架来实现。

public interface SessionManager {

    Session start(SessionContext context);

    Session getSession(SessionKey key) throws SessionException;
}

SubjectDAO实现Subject对象的保存，比如将Subject保存的Session或者到数据库。一般情况下，我们通过 SecurityUtils.getSubject()获取Subject对象，这里没有提供get方法。

public interface SubjectDAO {

    Subject save(Subject subject);

    void delete(Subject subject);
}

RememberMeManager

记住我，实现用户在会话超时后，不需要重新登录即可进入系统，默认是基于Cookie实现，主要将用户信息写入到Cookie中，并设置一个有效期，比如14天。

public interface RememberMeManager {

    PrincipalCollection getRememberedPrincipals(SubjectContext subjectContext);

    void forgetIdentity(SubjectContext subjectContext);

    void onSuccessfulLogin(Subject subject, AuthenticationToken token, AuthenticationInfo info);

    void onFailedLogin(Subject subject, AuthenticationToken token, AuthenticationException ae);

    void onLogout(Subject subject);
}

CacheManager

缓存，上面说到在鉴权时通过缓存提高API效率，还可以缓存Session实现Session快速存取。

public interface CacheManager {
    < K, V > Cache< K, V > getCache(String var1) throws CacheException;
}

Realm

Realm是开发者经常需要重写的，也是Shiro的扩展点，我们可以根据需要配置多个Realm，这样可以实现多因子认证，比如用户名、邮箱、指纹等。一般可以通过继承AuthenticatingRealm重写抽象方法实现。

public interface Realm {

    String getName();

    boolean supports(AuthenticationToken token);

    AuthenticationInfo getAuthenticationInfo(AuthenticationToken token) throws AuthenticationException;

}

Subject

Subject也是Shiro中非常重要的对象，在系统中，我们的操作基本都是调用其内部方法，最终由SecurityManager代理完成。比如常见的登录、登出、是否有角色、是否有权限等。

public interface Subject {

 Object getPrincipal();
 
 PrincipalCollection getPrincipals();
 
 void login(AuthenticationToken token) throws AuthenticationException;

   // ...
}

AuthenticationToken

用户提交的请求数据我们一般会进行封装，因为除了用户名密码，可能还会有一些其他信息，比如动态码、RememberMe标识，或者基于令牌的认证。

public interface AuthenticationToken extends Serializable {

    Object getPrincipal();

    Object getCredentials();

}

SubjectContext

Subject上下文，保存了Subject相关的数据，比如Subject、SecurityManager、Session等，在Subject间相互隔离。

public interface SubjectContext extends Map< String, Object > {

    Subject getSubject();

    PrincipalCollection getPrincipals();

    PrincipalCollection resolvePrincipals();

    Session getSession();

    Session resolveSession();

    boolean isAuthenticated();

    boolean isSessionCreationEnabled();

    boolean resolveAuthenticated();

    AuthenticationInfo getAuthenticationInfo();

    AuthenticationToken getAuthenticationToken();

}

ShiroFilter

Shiro过滤器链，前面一直提到基于Web的认证基本都是通过Filter实现，在一个Web项目中会有很多个Filter，而且会按照配置顺序执行，隐藏Shiro的过滤器会定义成链的模式，同时也是为了方便配置。开发者会根据业务需求配置过滤规则，最终都会由FilterChainResolver解析成过滤器链。

public class ShiroFilter extends AbstractShiroFilter {

    @Override
    public void init() throws Exception {
        WebEnvironment env = WebUtils.getRequiredWebEnvironment(getServletContext());

        setSecurityManager(env.getWebSecurityManager());

        FilterChainResolver resolver = env.getFilterChainResolver();
        if (resolver != null) {
            setFilterChainResolver(resolver);
        }
    }
}

Filter

在DefaultFilter中，我们可以看到这样的定义，主要是为过滤器提供了别名方便开发者进行配置。

anon(AnonymousFilter.class),
    authc(FormAuthenticationFilter.class),
    authcBasic(BasicHttpAuthenticationFilter.class),
    authcBearer(BearerHttpAuthenticationFilter.class),
    logout(LogoutFilter.class),
    noSessionCreation(NoSessionCreationFilter.class),
    perms(PermissionsAuthorizationFilter.class),
    port(PortFilter.class),
    rest(HttpMethodPermissionFilter.class),
    roles(RolesAuthorizationFilter.class),
    ssl(SslFilter.class),
    user(UserFilter.class),
    invalidRequest(InvalidRequestFilter.class);

一般配置如下：
/login.html = anon; //表示不需认证也可访问
/login.html = authc; //表示表单POST提交到/login.html请求时会根据提交的参数进行身份认证
/system = authcBasic; //根据请求头Authorization:BASIC Base64(用户名:密码)的形式完成认证
/system = authcBearer; //根据请求头Authorization:Bearer Token的形式完成认证
/logout = logout; //退出登录
/authz = perms[update, :add, :delete: ]; //表示具有操作权限可访问，支持' '通配符
/index.html = port[8080]; //表示8080请求端口才能访问
//权限字符串由 type:action:instance 组成，在rest服务中，通过权限与请求方法构建权限字符串[perm:mapping]，
请求方法与action对应关系如下：
// GET|HEAD|OPTIONS|TRACE -> read
// PUT -> update
// POST|MKCOL -> create
/ = rest

认证流程

第1步：应用程序代码调用该Subject.login方法，传入代表最终用户的主体和凭据的构造AuthenticationToken实例。

第2步：Subject实例，通常是一个类通过调用DelegatingSubject委托给应用程序，实际的身份验证工作从这里开始。SecurityManagersecurityManager.login(token)

第3步：SecurityManager作为基本的综合组件，接收令牌并通过调用简单地委托给其内部Authenticator实例authenticator.authenticate(token)。一般是ModularRealmAuthenticator实例，它支持在身份验证期间协调一个或多个Realm实例。ModularRealmAuthenticator本质上为 Apache Shiro提供了PAM样式的范例（其中每个Realm 都是 PAM 术语中的“模块”）。

第4步：如果Realm为应用程序配置了多个，ModularRealmAuthenticator实例将Realm使用其配置的启动多重身份验证尝试策略AuthenticationStrategy。Realms在调用进行身份验证之前、期间和之后，AuthenticationStrategy将根据每个Realm的执行结果做出最终认证的决定。

第5步：根据每一个配置Realm，判断supports是否提交AuthenticationToken。如果匹配则以token为参数调用Realm的getAuthenticationInfo方法。该方法代表了Realm的一次身份验证尝试。