【Shiro】01 概述 & 快速上手

什么是Shiro？

Apache Shiro 是Java的一个权限安全框架

一些功能：认证、授权、加密、会话管理、与Web 集成、缓存等

 

Shiro官网地址：[ 点击访问 ]

http://shiro.apache.org/

4个主要功能：

-　Authentication　

　　登陆，身份认证。完成用户登陆的密码匹配

-　Authorization

　　授权，权限验证。判断一个请求和一些事件触发是否可以被允许

-　Session Management

　　会话管理

-　Cryptography

　　信息加密，对密码的安全加密处理

其他功能：

WebSupport，Web支持，集成JavaEE

Concurrency，高并发支持，多线程情况下的授权和认证

Testing，测试

Caching，缓存模块

RunAs，让已经登陆的用户以其他用户身份操作管理

RememberMe，记住我

Hello Shiro?

演示HelloShiro需要的一些核心组件

导入工程lib目录

导入Shiro配置文件和日志配置文件

没有Maven管理，配置文件就直接放在src目录下

对Shiro的快速入门源码解析：

1、创建Shiro安全管理器实例

        // The easiest way to create a Shiro SecurityManager with configured
        // 创建Shiro安全管理器最简单的方式是使用配置

        // realms, users, roles and permissions is to use the simple INI config.
        // 访问域，用户，角色（权限），行为，都放在这个简单的ini配置文件中

        // We'll do that by using a factory that can ingest a .ini file and
        // 我们将会使用工厂实例注入ini配置文件，

        // return a SecurityManager instance:
        // 并且返回Shiro安全管理器的实例

        // Use the shiro.ini file at the root of the classpath
        // shiro.ini配置文件放在类路径的根下面

        // (file: and url: prefixes load from files and urls respectively):
        // 分别从文件和url加载前缀
        
        Factory<SecurityManager> factory = new IniSecurityManagerFactory("classpath:shiro.ini");
        SecurityManager securityManager = factory.getInstance();

2、继续配置安全管理器对象

        // for this simple example quickstart, make the SecurityManager accessible as a JVM singleton.
        // 在这个简单的快速入门案例中，使安全管理器实例在JVM中是一个可访问的单利对象

        //  Most applications wouldn't do this
        // 但是在大多数应用中不会这么来干

        // and instead rely on their container configuration or web.xml for webapps.
        // 并且对于webapps而言，是依赖于它们的容器配置文件或web.xml文件

        // That is outside the scope of this simple quickstart, so
        // 这已经超出了我们shiro快速入门的范畴了，所以

        // we'll just do the bare minimum so you can continue to get a feel for things.
        // 我们将只做一些你能继续体验的最基础的事情
        
        SecurityUtils.setSecurityManager(securityManager);

       // Now that a simple Shiro environment is set up, let's see what you can do:
        // 现在Shiro的环境已经部署出来了，瞧瞧我们能干点啥

3、获取当前执行的用户

// get the currently executing user:
        // 获取当前正在执行的用户
        Subject currentUser = SecurityUtils.getSubject();

获取当前的Subject对象

4、通过Session存储的认证信息来处理授权安全

获取 & 简单的判断

        // Do some stuff with a Session (no need for a web or EJB container!!!)
        // 用会话做些事情（不需要web或EJB容器！！！）【测试Session】

        // 获取Session
        Session session = currentUser.getSession();

        // 在Session对象中注入某一属性
        session.setAttribute("someKey", "aValue");

        // 然后又获取这个属性值
        String value = (String) session.getAttribute("someKey");

        if (value.equals("aValue")) {
　　　　　　　//是否匹配
            log.info("---> Retrieved the correct value! [" + value + "]");
        }

5、权限详细的操作

        // let's login the current user so we can check against roles and permissions:
        // 让我们登录当前用户，以便检查角色和权限：

        // 测试当前的用户是否已经认证，即是否登陆 调用isAuthenticated()方法判断
        if (!currentUser.isAuthenticated()) {
            // 如果不是则把认证信息封装在一个令牌对象中
            UsernamePasswordToken token = new UsernamePasswordToken("lonestarr", "vespa");
            // 对这个令牌对象设置 记住我
            token.setRememberMe(true);
            try {
                // 执行登陆指令，能否成功取决于在shiro.ini中是否配置令牌中认证信息
                currentUser.login(token);
            } 
            // 未知账户异常 ，没有此用户抛出
            catch (UnknownAccountException uae) {
                log.info("----> There is no user with username of " + token.getPrincipal());
                return; 
            } 
            // 不正确的资格证书，账户的密码错误
            catch (IncorrectCredentialsException ice) {
                log.info("----> Password for account " + token.getPrincipal() + " was incorrect!");
                return; 
            } 
            //锁定的账户，该用户的账号已经上锁，请联系你的管理员解锁
            catch (LockedAccountException lae) {
                log.info("The account for username " + token.getPrincipal() + " is locked.  " +
                        "Please contact your administrator to unlock it.");
            }
            // ... catch more exceptions here (maybe custom ones specific to your application?
            // 更多的授权异常问题，翻阅shiro文档详细
            catch (AuthenticationException ae) {
                //unexpected condition?  error?
            }
        }

        //say who they are:
        // 说明 这是谁的用户

        //  print their identifying principal (in this case, a username):
        //  打印它们的标识主体，在这个演示案例中，只有一个用户名称
        log.info("----> User [" + currentUser.getPrincipal() + "] logged in successfully.");

        //test a role:
        // 测试权限

        // hasRole，判断是否存在这样一个角色权限？
        if (currentUser.hasRole("schwartz")) {
            // 存在，愿施瓦兹与你同在
            log.info("----> May the Schwartz be with you!");
        } else {
            // 你好，凡人
            log.info("----> Hello, mere mortal.");
            return; 
        }

        //test a typed permission (not instance-level)
        // 测试一用户是否具备这个行为 isPermitted()
        if (currentUser.isPermitted("lightsaber:weild")) {
            // 你有这个行为，请明智的使用
            log.info("----> You may use a lightsaber ring.  Use it wisely.");
        } else {
            // 对卟住，这只是大师才能用的行为
            log.info("Sorry, lightsaber rings are for schwartz masters only.");
        }

        //a (very powerful) Instance Level permission:
        // 一个非常强大的实例等级行为

        // 判断这个用户是否被允许了
        if (currentUser.isPermitted("user:delete:zhangsan")) {

            log.info("----> You are permitted to 'drive' the winnebago with license plate (id) 'eagle5'.  " +
                    "Here are the keys - have fun!");
        } else {

            log.info("Sorry, you aren't allowed to drive the 'eagle5' winnebago!");
        }

6、完成安全授权，退出

        // 判断是否完成了授权验证

        System.out.println("---->" + currentUser.isAuthenticated());

        //all done - log out!
        // 全部搞定，退出
        currentUser.logout();

        System.out.println("---->" + currentUser.isAuthenticated());

        System.exit(0);