概述

Apache Shiro 是一个功能强大且灵活的开源安全框架，可以干净地处理身份验证，授权，企业会话 Management 和加密。

Apache Shiro 的首要目标是易于使用和理解。安全有时可能非常复杂，甚至会很痛苦，但不一定如此。框架应尽可能掩盖复杂性，并公开干净直观的 API，以简化开发人员确保其应用程序安全的工作。

您可以使用 Apache Shiro 进行以下操作：

验证用户身份以验证其身份
对用户执行访问控制，例如：
确定是否为用户分配了特定的安全角色
- 确定是否允许用户做某事
即使在没有 Web 或 EJB 容器的情况下，也可以在任何环境中使用 Session API。
在身份验证，访问控制或会话的生存期内对事件做出反应。
汇总 1 个或更多用户安全数据的数据源，并将其全部显示为单个复合用户“视图”。
启用单点登录(SSO)功能
启用“记住我”服务以进行用户关联而无需登录

…

以及更多-所有这些都集成到一个易于使用的内聚 API 中。

Shiro 尝试在所有应用程序环境中实现这些目标-从最简单的命令行应用程序到最大的企业应用程序，而不必强加对其他第三方框架，容器或应用程序服务器的依赖。当然，该项目旨在尽可能地集成到这些环境中，但是可以在任何环境中直接使用它。

架构

shiro框架

Subject： org.apache.shiro.subject.Subject

当前与软件交互的实体(用户，第三方服务，cron 作业等)
SecurityManager：org.apache.shiro.mgt.SecurityManager

shiro的核心框架，管理整个shiro组件
Authenticator： org.apache.shiro.authc.Authenticator

负责执行用户的身份验证，默认使用org.apache.shiro.authc.pam.ModularRealmAuthenticator实例
AuthenticationStrategy：org.apache.shiro.authc.pam.AuthenticationStrategy

认证策略，当存在多个realm时，将调用认证策略发起多次realm身份验证
Authorizer：org.apache.shiro.authz.Authorizer

授权，负责用户是否允许执行某些动作
SessionManager：org.apache.shiro.session.mgt.SessionManager

会话管理
Realm：org.apache.shiro.realm.Realm
- 充当 Shiro 与应用程序安全数据之间的“桥梁”或“连接器”。当需要与安全性相关的数据(例如用户帐户)进行交互以执行身份验证(登录)和授权(访问控制)时，Shiro 会从一个或多个为应用程序配置的领域中查找许多此类内容。可以根据需要配置多个Realms(通常每个数据源一个)，并且 Shiro 会根据需要与它们进行协调，以进行身份验证和授权。
- Realm实现是与数据源(RDBMS，LDAP 等)进行通信的对象
密码相关： org.apache.shiro.crypto.*
SessionManager：org.apache.shiro.session.mgt.SessionManager
SessionDAO：org.apache.shiro.session.mgt.eis.SessionDAO
CacheManager：org.apache.shiro.cache.CacheManager

开发时常用流程

常用核心组件

SecuritManager：管理整个shiro框架
- 在springboot中使用：org.apache.shiro.web.mgt.DefaultWebSecurityManager
- DefaultWebSecurityManager中可以设置Session、Cookie等
Subject：主体（可以理解为用户信息，即与服务器交互的主题）
- 当执行Subject.login时会最终执行Realm.doGetAuthenticationInfo
Realm：认证时执行对应的代码逻辑
- 内置了一些Realm（可以自行查看AuthorizingRealm的实现类），但实际使用时最好自定义。
- 认证时会调用：doGetAuthenticationInfo
- 授权时会调用：doGetAuthorizationInfo
CredentialsMatcher：身份匹配器
- 默认的身份匹配器：org.apache.shiro.authc.credential.SimpleCredentialsMatcher
- 默认的Realm在调用doGetAuthenticationInfo时会调用CredentialsMatcher.doCredentialsMatch
Filter：过滤器
- 默认的过滤器：在org.apache.shiro.web.filter.mgt.DefaultFilter里面定义的；
- 默认的过滤器链：org.apache.shiro.spring.web.config.DefaultShiroFilterChainDefinition
- 在springboot中：使用ShiroFilterChainDefinition配置过滤链并将其与SecuritManager关联：org.apache.shiro.spring.web.ShiroFilterFactoryBean

认证授权流程

快速入门

官方文档如下连接：
- 源码地址：
  
  https://github.com/apache/shiro.git
- 官网文档：
  
  Apache Shiro | Simple. Java. Security.
- 中文文档：
  
  Apache Shiro 中文文档 - Apache Shiro 简介
本人整理的快速入门案例详见如下链接：【使用了imi配置文件模拟了用户、角色、权限配置】

快速入门