一、概念：
shiro是apache旗下一个开源框架，它将软件系统的安全认证相关的功能抽取出来，实现用户身份认证、权限授权、加密、会话管理等功能，组成了一个通用的安全认证框架。
（一）shiro的功能：
1．验证用户。
2．对用户执行访问控制，如: 判断用户是否拥有角色admin，判断用户是否拥有访问的权限。
3．在任何环境下使用Session API。例如CS程序。
4．可以使用多个用户数据源。例如一个是oracle用户库，另外一个是mysql用户库。
5．单点登录(SSO)功能。
6．"Remember Me"服务，类似购物车的功能，shiro官方建议开启。
（二）整体架构：
（三）名词概念：
1．Subject：
Subject 是与程序进行交互的对象，可以是人也可以是服务或者其他，通常就理解为用户。
所有Subject 实例都必须绑定到一个SecurityManager上。我们与一个 Subject交互，运行时shiro会自动转化为与 SecurityManager交互的特定 subject的交互。
Subject在shiro中是一个接口，接口中定义了很多认证授权相关的方法，外部程序通过subject进行认证授，而subject是通过SecurityManager安全管理器进行认证授权。
2．SecurityManager：
SecurityManager即安全管理器，对全部的subject进行安全管理，它是shiro的核心，负责对所有的subject进行安全管理。通过SecurityManager可以完成subject的认证、授权等，实质上SecurityManager是通过Authenticator进行认证，通过Authorizer进行授权，通过SessionManager进行会话管理等。
SecurityManager是一个接口，继承了Authenticator, Authorizer, SessionManager这三个接口。
3．Authenticator：
Authenticator即认证器，对用户身份进行认证，Authenticator是一个接口，shiro提供ModularRealmAuthenticator实现类，通过ModularRealmAuthenticator基本上可以满足大多数需求，也可以自定义认证器。
4．Authorizer：
Authorizer即授权器，用户通过认证器认证通过，在访问功能时需要通过授权器判断用户是否有此功能的操作权限。
5．Realm：
Realm即领域，相当于datasource数据源，securityManager进行安全认证需要通过Realm获取用户权限数据，比如：如果用户身份数据在数据库那么realm就需要从数据库获取用户身份信息。
注意：不要把realm理解成只是从数据源取数据，在realm中还有认证授权校验的相关的代码。
6．sessionManager：
sessionManager即会话管理，shiro框架定义了一套会话管理，它不依赖web容器的session，所以shiro可以使用在非web应用上，也可以将分布式应用的会话集中在一点管理，此特性可使它实现单点登录。
7．SessionDAO：
SessionDAO即会话dao，是对session会话操作的一套接口，比如要将session存储到数据库，可以通过jdbc将会话存储到数据库。
8．CacheManager：
CacheManager即缓存管理，将用户权限数据存储在缓存，这样可以提高性能。
9．Cryptography：
Cryptography即密码管理，shiro提供了一套加密/解密的组件，方便开发。比如提供常用的散列、加/解密等功能。
二、认证流程：
三、一个认证的简单Demo：
（一）添加POM依赖：
<dependency>
<groupId>org.apache.shiro</groupId>
<artifactId>shiro-core</artifactId>
<version>1.2.3</version>
</dependency>
（二）配置shiro.ini文件：
#用户名=密码,角色1,角色2...，角色n
[users]
root = secret, admin
guest = guest, guest
test = 123456, role1, role2 # 角色名=权限1，权限2...权限n
[roles]
admin = *
guest = guest
role1=perm1,perm2
role2=perm3
（三）代码实现：
public static void main(String[] args) {
//1. 这里的SecurityManager是org.apache.shiro.mgt.SecurityManager
// 而不是java.lang.SecurityManager
// 加载配置文件
Factory<SecurityManager> factory = new IniSecurityManagerFactory("classpath:shiro.ini");
//2.解析配置文件，并且返回一些SecurityManger实例
SecurityManager securityManager = factory.getInstance();
//3.将SecurityManager绑定给SecurityUtils
SecurityUtils.setSecurityManager(securityManager);
// 安全操作，Subject是当前登录的用户
Subject currentUser = SecurityUtils.getSubject();
// 测试在应用的当前会话中设置属性
Session session = currentUser.getSession();
//放进去一个key和一个value
session.setAttribute("someKey", "aValue");
//根据key拿到value
String value = (String) session.getAttribute("someKey");
if ("aValue".equals(value)) {//比较拿到的值和原来的值是否一致
log.info("检索到正确的值[" + value + "]");
}
//尝试进行登录用户，如果登录失败了，我们进行一些处理
if (!currentUser.isAuthenticated()) {//如果用户没有登录过
UsernamePasswordToken token = new UsernamePasswordToken("test", "123456");
token.setRememberMe(true);//是否记住用户
try {
currentUser.login(token);
//当我们获登录用户之后
log.info("用户 [" + currentUser.getPrincipal() + "] 登陆成功");
//登出
currentUser.logout();
} catch (UnknownAccountException uae) {
log.info(token.getPrincipal() + "账户不存在");
} catch (IncorrectCredentialsException ice) {
log.info(token.getPrincipal() + "密码不正确");
} catch (LockedAccountException lae) {
log.info(token.getPrincipal() + "用户被锁定了 ");
} catch (AuthenticationException ae) {
log.info(ae.getMessage()); //无法判断是什么错了
}
}
}（四）自定义Realm：
1、配置Realm：
<!--自定义Realm -->
<bean id="myRealm" class="com.ssm.shiro.realm.MyRealm" />
<!--安全管理 -->
<bean id="securityManager" class="org.apache.shiro.web.mgt.DefaultWebSecurityManager">
<property name="realm" ref="myRealm"></property>
</bean>
2、实现代码：
/*
* 自定义Realm
*/
public class CustomRealm extends AuthorizingRealm{
//设置Realm名称
@Override
public void setName(String name){
super.setName("customRealm");
} //用于认证
@Override
protected AuthenticationInfo doGetAuthenticationInfo(AuthenticationToken token) throws AuthenticationException{
//1.从token取出用户身份信息
String userCode = (String)token.getPrincipal(); //2.根据用户userCode查询数据库
//模拟从数据库查询到的密码
String password = "123"; //查询不到返回null //查询到返回认证信息
SimpleAuthenticationInfo authenticationInfo = new SimpleAuthenticationInfo(userCode,password,this.getName()); return authenticationInfo;
} //用于授权
@Override
protected AuthorizationInfo doGetAuthorizationInfo(PrincipalCollection principals){ return null;
}
}
四、与SpringMVC整合的Demo：
1、配置web.xml：
<!-- 添加shiro过滤器 -->
<filter>
<filter-name>shiroFilter</filter-name>
<filter-class>org.springframework.web.filter.DelegatingFilterProxy</filter-class>
</filter>
<filter-mapping>
<filter-name>shiroFilter</filter-name>
<url-pattern>/*</url-pattern>
</filter-mapping>
2、配置applicationContext.xml：
<!--自定义Realm -->
<bean id="myRealm" class="com.ssm.shiro.realm.MyRealm" />
<!--安全管理 -->
<bean id="securityManager" class="org.apache.shiro.web.mgt.DefaultWebSecurityManager">
<property name="realm" ref="myRealm"></property>
</bean>
<!--shiro 过滤器 -->
<bean id="shiroFilter" class="org.apache.shiro.spring.web.ShiroFilterFactoryBean">
<!-- Shiro过滤器的核心安全接口，这个属性是必须的 -->
<property name="securityManager" ref="securityManager" />
<!--身份认证失败，则跳转到登录页面的配置 -->
<property name="loginUrl" value="/login.jsp" />
<!--权限认证失败，则跳转到指定页面 -->
<property name="unauthorizedUrl" value="/unauthorized.jsp" />
<!-- Shiro连接约束配置，即过滤链的定义 -->
<property name="filterChainDefinitions">
<value>
/login.jsp = anon
/user/login=anon
/user/logout = logout
/admin.jsp=roles[admin]
/** = authc
</value>
</property>
</bean>
3、实现登陆login：
@RequestMapping("/login")
public String login(Entity user, HttpServletRequest request){
System.out.println("user:"+user.getUsername());
Subject subject=SecurityUtils.getSubject();
ByteSource salt = ByteSource.Util.bytes(user.getUsername());
//加密
String getpassword = new Md5Hash(user.getPassword(), salt).toString();
UsernamePasswordToken token=new UsernamePasswordToken(user.getUsername(),getpassword);
try {
//调用subject.login(token)进行登录，会自动委托给securityManager,调用之前
subject.login(token);//会跳到我们自定义的realm中
request.getSession().setAttribute("user",user);
return "success";
} catch (AuthenticationException ae) {
//unexpected condition? error?
System.out.println("登录失败: " + ae.getMessage());
return "redirect:/login.jsp";
}
} 4、Demo代码例子：