戒色诗: 二八佳人体似酥，腰间仗剑斩凡夫。虽然不见人头落，暗里教君骨髓枯。
关于Shiro 的教程，推荐大家看 张开涛前辈写得 跟我学Shiro， 写得非常好。
老蝴蝶写得这个 Shiro 系列，侧重于实际应用，所以太深奥的内容不进行讲解，大家看张开涛前辈写的Shiro 文章就好。
另，本系列shiro 内容会大量参考张开涛前辈的文章，谢谢!!!
一. Shiro的出现
一.一 为什么要出现 Shiro?
前面，我们在控制权限，保障数据隐私和安全时，都是自己编写的代码程序进行相应的控制。
我们自己前面实现的 权限验证，操作复杂，功能简单，复用率低， 一些常见的功能，如 单点登录，记住我，密码加密等，很难实现，还需要根据不同的框架写不同的过滤器或者拦截器，自己手动配置静态的和不需要认证的页面url.
我们希望能有一个工具，就像 Quartz 实现作业调度一样，实现权限的控制? 我们只需要把用户，角色，权限的数据交给这个工具，通过简单的配置，这个工具就能自动帮我们实现认证和授权的操作。
有这个工具，这个工具就是 Shiro.
Shiro 可以帮我们快速地实现 认证和授权的功能，保障系统地安全。
一.二 Shiro的简介和下载
Shiro 是一个强大的 Java安全框架，越来越多的人使用它。适用于 JavaSE 和 JavaEE。
可以进行 认证，授权，加密和会话管理 ，也支持Web,单点登录，记住我等功能。
Shiro属于Apache 组织下的项目，官网为: http://shiro.apache.org/
我们下载的是经典的 1.2.2 版本
在maven 中直接 引入 shiro-all 的依赖
<dependency>
<groupId>org.apache.shiro</groupId>
<artifactId>shiro-all</artifactId>
<version>1.2.2</version>
</dependency>
相应的jar包为:
在写 shiro 的例子之前，我们需要先了解关于Shiro 的一些概念。(概念摘录于张开涛前辈的shiro文章)
二. Shiro 相关概念介绍
二.一 Shiro 的功能模块
二.一.一 功能模块图片
Shiro 会我们提供了这些功能。
二.一.二 功能模块解释
| 功能模块名 | 对应解释 |
|---|---|
| Authentication | 身份认证(通俗讲为登录)，验证用户是否是合法的用户 |
| Authorization | 授权(通俗讲为权限验证),验证某个已经认证通过的用户是否具有某个权限，用于判断用户是否能做某些事情 |
| Session Manager | 会话管理。用户登录后就是一次会话，在没有退出之前，它的所有的信息都会在会话里面。会话可以是 JavaSE环境，也可以是Web环境 |
| Cryptography | 加密，用于保护数据的安全性，如密码加密，而不是明文存储 |
| Web Support | Web支持，用于集成到 Web环境 |
| Caching | 缓存，用户登录之后，其用户信息，拥有的角色和权限不必每次都去查，可以提高效率，如ehcache缓存 |
| Concurrency | 多线程并发验证，即如在一个线程中开启另一个线程，就能把权限自动传播过去 |
| Testing | 提供测试支持 |
| Run As | 允许一个用户假装为另一个用户(如果他们允许)的身份进行访问 |
| Remember Me | 记住我，即一次登录后，下次再来的话，就不用重新登录 |
常用的就是，身份认证 Authentication,授权 Authorization,加密 Cryptography和 记住我 Remember Me.
二.二 Shiro 的外部架构
二.二.一 外部架构图片
Shiro 的三大主体， Subject, SecurityManager, Realm 如何进行工作的。
二.二.二 外部架构的名词解释
| 名称 | 对应解释 |
|---|---|
| Subject | 主体，代表当前的"用户"，但这个用户不一定指具体的人。 |
| SecurityManager | 安全管理器，即所有与安全有关的操作都会与Security Manager 进行交互,它管理着所有的 Subject,是 Shiro的核心，负责与Realm 进行交互 |
| Realm | 域，Shiro从域中获取安全数据，相当于DataSource 数据源 |
补充: 我们编写的代码里面使用的是 Subject,即应用代码直接交互的对象是 Subject. 所有的Subject 都会绑定到 SecurityManager上，所有的交互也都会委托给SecurityManager, 是一个门面，而Security Manager是实际的执行者。
Security Manager 相当于 SpringMVC的 DispatcherServlet 前端控制器，无处不在，功能强大。
Realm相当于数据源， SecurityManager要验证用户的身份，获取用户的权限，这个数据从哪儿获取呢? 就是通过Realm 进行获取。
总结: 应用代码通过 Subject对象调用方法， 来进行认证和授权，而Subject 又委托SecurityManager处理(即真正干活的是 SecurityManager)
需要给SecurityManager 注入Realm, 从而让SecurityManager得到合法的用户信息和角色/权限数据。
注意，数据是我们开发者提供的，Shiro 不维护数据，只查询，不更新。
二.三 Shiro 的内部架构
二.三.一 Shiro 的内部架构图片
具体的功能组件
二.三.二 内部架构解释
| 名称 | 解释 |
|---|---|
| Subject | 主体，可以看到主体是任何可以与应用交互的用户 |
| SecurityManager | 所有具体的交互都是通过它进行控制的，管理着所有的Subject |
| Authenticator | 认证器，负责主体认证的，需要配置认证策略 Strategy |
| Authrizer | 授权器，用来决定主体是否有权限进行相应的操作 |
| Realm | 安全实体数据源，用于获取数据 |
| SessionManager | 会话管理，用于管理Session |
| SessionDAO | 用于会话的CRUD |
| CacheManager | 缓存管理，用于提高访问的性能，常存储用户，角色，权限 |
| Cryptography | 密码模块，用于加密用户的密码等隐私数据 |
二.四 身份认证
身份认证，是在应用中谁能证明他就是他本人。一般提供身份的ID等标识信息来表明他就是他本人，如身份证，用户名/密码等。
包括两个部分，一个 principals(身份),credentials(证明) 两个部分。
二.四.一 principals 身份
即主体的标识属性，可以是任何东西，如用户名、邮箱等，唯一即可。一个主体可以有多个principals，但只有一个Primary principals，一般是用户名/密码/手机号。
二.四.二 credentials 证明
即只有主体知道的安全值，如密码/数字证书等
最常见的身份认证就是 用户名和密码。
其中，身份 principals 是用户名，唯一的，
证明 credentials 是密码，只有当前身份的那个用户才知道的凭证。
三. Shiro 进行认证实例
编写一个小的 Demo,来演示一下 Shiro 的具体使用。
三.一 添加 Shiro 的依赖
在 pom.xml 文件中，添加shiro 和junit 测试的 依赖
<project xmlns="http://maven.apache.org/POM/4.0.0" xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance" xsi:schemaLocation="http://maven.apache.org/POM/4.0.0 http://maven.apache.org/xsd/maven-4.0.0.xsd">
<modelVersion>4.0.0</modelVersion>
<groupId>com.yjl.shiro</groupId>
<artifactId>Shiro_Ini</artifactId>
<version>0.0.1-SNAPSHOT</version>
<dependencies>
<dependency>
<groupId>org.apache.shiro</groupId>
<artifactId>shiro-all</artifactId>
<version>1.2.2</version>
</dependency>
<dependency>
<groupId>junit</groupId>
<artifactId>junit</artifactId>
<version>4.12</version>
</dependency>
</dependencies>
<build>
<plugins>
<!-- 编译的jdk版本 -->
<plugin>
<groupId>org.apache.maven.plugins</groupId>
<artifactId>maven-compiler-plugin</artifactId>
<version>3.1</version>
<configuration>
<source>1.8</source>
<target>1.8</target>
</configuration>
</plugin>
</plugins>
</build>
</project>
三.二 创建配置文件 shiro.ini
用户的身份密码，角色权限等信息，可以暂时配置在 .ini 文件里面。
Shiro 支持从 .ini 配置文件里面读取数据， 但要保证文件的格式正确。
我们往里面添加两个用户， yuejl 和yuezl 两个用户，密码均为 1234.
# 配置用户的信息
[users]
#用户名=密码
yuejl=1234
yuezl=1234
shiro.ini 文件要放置在 classpath 目录下。
三.三 编写 测试Demo
package com.yjl.demo;
import org.apache.shiro.SecurityUtils;
import org.apache.shiro.authc.UsernamePasswordToken;
import org.apache.shiro.config.IniSecurityManagerFactory;
import org.apache.shiro.mgt.SecurityManager;
import org.apache.shiro.subject.Subject;
import org.apache.shiro.util.Factory;
/**
*
* @author 两个蝴蝶飞
* Shiro 的第一个演示文件
*/
public class ShiroDemo1 {
public static void main(String[] args) {
//1. 创建工厂
Factory<SecurityManager> factory=new IniSecurityManagerFactory("classpath:shiro.ini");
//2. 从工厂里面获取 SecurityManager
SecurityManager securityManager=factory.getInstance();
//3. 通过工具类设置 securityManager
SecurityUtils.setSecurityManager(securityManager);
//4. 获取当前登录的用户
Subject subject=SecurityUtils.getSubject();
//5. 拼装用户的身份和密码Token
UsernamePasswordToken token=new UsernamePasswordToken("yuezl","1234"); //1.正确密码
//UsernamePasswordToken token=new UsernamePasswordToken("yuezl","123456"); //2.错误密码
//6. 调用 subject 里面的login 方法，进行登录
try{
subject.login(token);
//7.判断用户是否登录成功
if(subject.isAuthenticated()){
System.out.println("用户:"+token.getUsername()+", 登录成功");
}
}catch(Exception e){
System.out.println("用户登录失败");
}
}
}
正确的密码 1234，进行测试
错误的密码 123456，进行测试
其中， token 对象里面传入的用户名和密码，就是我们以后在前端用户输入的用户名和密码，
shiro.ini 里面的用户名和密码，就是我们从数据库里面读取出来的用户的用户名和密码。
两者是如何进行比较的呢? 是通过 subject.login() 方法进行比较的。
本章节代码链接为:
链接：https://pan.baidu.com/s/1FI_r9DfOhrK84k9ru0zerA
提取码：6z3o
谢谢您的观看，我是两个蝴蝶飞, 如果喜欢，请关注我，再次感谢 !!!