什么是Shiro

Shiro 是一個(gè)強(qiáng)大靈活的開源安全框架，可以完全處理身份驗(yàn)證、授權(quán)、加密和會(huì)話管理

Shiro的核心功能包括：

• 身份驗(yàn)證（Authentication）：驗(yàn)證用戶的身份，確保用戶是合法的。
• 授權(quán)（Authorization）：控制用戶對系統(tǒng)資源的訪問權(quán)限，限制用戶只能訪問其被授權(quán)的部分。
• 會(huì)話管理（Session Management）：管理用戶會(huì)話，跟蹤用戶的登錄狀態(tài)和活動(dòng)，并提供會(huì)話的持久化支持。
• 密碼加密（Cryptography）：提供密碼加密和解密的支持，確保用戶的密碼在存儲(chǔ)和傳輸過程中的安全性。
• Web支持：提供與Web應(yīng)用程序集成的支持，包括集成主流Web框架（如Spring、Struts）和處理Web請求的過濾器等。

Shiro主要組件及相互作用：

1. Subject（主體）：
   • Subject 表示當(dāng)前正在與應(yīng)用程序交互的用戶?？梢允且粋€(gè)人、設(shè)備或其他系統(tǒng)實(shí)體。
   • Subject 封裝了用戶的身份和相關(guān)的安全操作，如登錄、注銷、權(quán)限檢查等。
2. SecurityManager（安全管理器）：
   • SecurityManager 是 Shiro 的核心組件，負(fù)責(zé)協(xié)調(diào)和管理所有的安全操作。
   • SecurityManager 管理一個(gè)或多個(gè) Realms，用于進(jìn)行身份驗(yàn)證和授權(quán)。
3. Realm（域）：
   • Realm 是連接 Shiro 和安全數(shù)據(jù)源（如數(shù)據(jù)庫、LDAP 等）的橋梁。
   • Realm 負(fù)責(zé)從數(shù)據(jù)源中獲取用戶的身份和權(quán)限信息，并提供給 SecurityManager 進(jìn)行驗(yàn)證和授權(quán)操作。
4. Authenticator（身份驗(yàn)證器）：
   • Authenticator 負(fù)責(zé)對用戶進(jìn)行身份驗(yàn)證。
   • Authenticator 使用 Realm 獲取用戶的身份信息，并將其與用戶提供的憑據(jù)進(jìn)行比較，以確定用戶是否合法。
5. Authorizer（授權(quán)器）：
   • Authorizer 負(fù)責(zé)對用戶進(jìn)行授權(quán)，確定用戶是否有權(quán)訪問特定資源。
   • Authorizer 使用 Realm 獲取用戶的角色和權(quán)限信息，并與應(yīng)用程序定義的角色和權(quán)限進(jìn)行匹配，以決定用戶是否被授權(quán)訪問資源。
6. SessionManager（會(huì)話管理器）：
   • SessionManager 負(fù)責(zé)管理用戶的會(huì)話。
   • SessionManager 創(chuàng)建、維護(hù)和關(guān)閉用戶會(huì)話，并提供會(huì)話的持久化支持。
7. SessionDAO（會(huì)話數(shù)據(jù)訪問對象）：
   • SessionDAO 是用于會(huì)話數(shù)據(jù)的讀取和存儲(chǔ)的接口。
   • SessionDAO 與數(shù)據(jù)庫或其他存儲(chǔ)介質(zhì)交互，將會(huì)話數(shù)據(jù)持久化或從持久化存儲(chǔ)中讀取會(huì)話數(shù)據(jù)。

這些組件相互協(xié)作，形成了 Shiro 的安全框架。Subject 通過 SecurityManager 進(jìn)行身份驗(yàn)證和授權(quán)操作，SecurityManager 使用 Realm 獲取用戶的身份和權(quán)限信息。而我們需要實(shí)現(xiàn)Realms的Authentication 和 Authorization。Authenticator 負(fù)責(zé)身份驗(yàn)證，Authorizer 負(fù)責(zé)授權(quán)，SessionManager 負(fù)責(zé)會(huì)話管理。SessionDAO 則提供會(huì)話數(shù)據(jù)的讀取和存儲(chǔ)支持。通過這

種相互作用，Shiro 提供了完善的安全功能，保護(hù)應(yīng)用程序的安全性。

Shiro 認(rèn)證過程：

1. 用戶提交身份信息：用戶在應(yīng)用程序的登錄頁面輸入用戶名和密碼，并提交身份信息。
2. Subject 提交身份信息：應(yīng)用程序接收到用戶提交的身份信息后，將其封裝為 Subject 對象。
3. SecurityManager 開始認(rèn)證：SecurityManager 是 Shiro 的核心組件，負(fù)責(zé)協(xié)調(diào)和管理所有的安全操作。它接收到 Subject 提交的身份信息后，開始進(jìn)行身份驗(yàn)證。
4. SecurityManager 調(diào)用 Authenticator 進(jìn)行身份驗(yàn)證：SecurityManager 會(huì)調(diào)用配置好的 Authenticator 進(jìn)行身份驗(yàn)證。
5. Authenticator 獲取身份信息：Authenticator 使用 Realm（可能是單個(gè) Realm 或多個(gè) Realm 的組合）從數(shù)據(jù)源中獲取用戶的身份信息。
6. Realm 獲取用戶身份信息：Realm 是連接 Shiro 和安全數(shù)據(jù)源的橋梁。它根據(jù)配置的方式（如數(shù)據(jù)庫、LDAP 等）獲取用戶的身份信息。
7. Authenticator 進(jìn)行身份匹配：Authenticator 將用戶提交的身份信息和 Realm 獲取到的用戶身份信息進(jìn)行匹配，以確定用戶是否合法。
8. 認(rèn)證結(jié)果返回給 SecurityManager：Authenticator 將認(rèn)證結(jié)果（通過或失?。┓祷亟o SecurityManager。
9. SecurityManager 處理認(rèn)證結(jié)果：SecurityManager 根據(jù)認(rèn)證結(jié)果，如果認(rèn)證成功，則將用戶標(biāo)記為已認(rèn)證狀態(tài)，并將用戶的身份信息存儲(chǔ)在 Subject 中供以后使用。如果認(rèn)證失敗，則拋出相應(yīng)的異常。
10. 認(rèn)證結(jié)果返回給應(yīng)用程序：SecurityManager 將認(rèn)證結(jié)果返回給應(yīng)用程序，應(yīng)用程序可以根據(jù)認(rèn)證結(jié)果決定如何處理。

Shiro 授權(quán)過程：

1. 用戶發(fā)起訪問請求： 用戶在應(yīng)用程序中發(fā)起對某個(gè)資源的訪問請求，例如訪問一個(gè)特定的 URL 或執(zhí)行某個(gè)操作。
2. Subject 發(fā)起授權(quán)請求： Subject 對象封裝了當(dāng)前用戶的身份信息和相關(guān)的安全操作。當(dāng)用戶發(fā)起訪問請求時(shí)，Subject 對象會(huì)將授權(quán)請求發(fā)送給 SecurityManager。
3. SecurityManager 開始授權(quán)： SecurityManager 是 Shiro 的核心組件，負(fù)責(zé)協(xié)調(diào)和管理所有的安全操作。它接收到 Subject 的授權(quán)請求后，開始進(jìn)行授權(quán)處理。
4. SecurityManager 調(diào)用 Authorizer 進(jìn)行授權(quán)： SecurityManager 會(huì)調(diào)用配置好的 Authorizer 進(jìn)行授權(quán)操作。
5. Authorizer 獲取用戶角色和權(quán)限信息： Authorizer 使用 Realm（可能是單個(gè) Realm 或多個(gè) Realm 的組合）從數(shù)據(jù)源中獲取當(dāng)前用戶的角色和權(quán)限信息。
6. Authorizer 進(jìn)行角色和權(quán)限匹配： Authorizer 將用戶的角色和權(quán)限信息與應(yīng)用程序定義的角色和權(quán)限進(jìn)行匹配，以確定用戶是否有權(quán)訪問請求的資源。
7. 授權(quán)結(jié)果返回給 SecurityManager： Authorizer 將授權(quán)結(jié)果（允許訪問或拒絕訪問）返回給 SecurityManager。
8. SecurityManager 處理授權(quán)結(jié)果： SecurityManager 根據(jù)授權(quán)結(jié)果，如果授權(quán)成功，則允許用戶訪問請求的資源。如果授權(quán)失敗，則拋出相應(yīng)的異?；虿扇∑渌幚泶胧?。
9. 授權(quán)結(jié)果返回給應(yīng)用程序： SecurityManager 將授權(quán)結(jié)果返回給應(yīng)用程序，應(yīng)用程序可以根據(jù)授權(quán)結(jié)果決定如何處理用戶的訪問請求。

到此這篇關(guān)于Shiro安全框架的主要組件及認(rèn)證過程簡介的文章就介紹到這了,更多相關(guān)Shiro安全框架內(nèi)容請搜索腳本之家以前的文章或繼續(xù)瀏覽下面的相關(guān)文章希望大家以后多多支持腳本之家！

最新評(píng)論