shiro和spring security都是開源的許可權框架，shiro相對於spring security來說更簡單學習成本更低，並且提供的API也明瞭，下面是shiro官方的一個圖：

• 其中把上面的東西抽象出來主要分為幾個塊(網上找的文件摳出來的)：

1.Subject

Subject即主體，外部應用與subject進行互動，subject記錄了當前操作使用者，將使用者的概念理解為當前操作的主體，可能是一個通過瀏覽器請求的使用者，也可能是一個執行的程式。 Subject在shiro中是一個介面，介面中定義了很多認證授相關的方法，外部程式通過subject進行認證授，而subject是通過SecurityManager安全管理器進行認證授權

2.SecurityManager

SecurityManager即安全管理器，對全部的subject進行安全管理，它是shiro的核心，負責對所有的subject進行安全管理。通過SecurityManager可以完成subject的認證、授權等，實質上SecurityManager是通過Authenticator進行認證，通過Authorizer進行授權，通過SessionManager進行會話管理等。

SecurityManager是一個介面，繼承了Authenticator, Authorizer, SessionManager這三個介面。

3.Authenticator

Authenticator即認證器，對使用者身份進行認證，Authenticator是一個介面，shiro提供ModularRealmAuthenticator實現類，通過ModularRealmAuthenticator基本上可以滿足大多數需求，也可以自定義認證器。

4.Authorizer

Authorizer即授權器，使用者通過認證器認證通過，在訪問功能時需要通過授權器判斷使用者是否有此功能的操作許可權。

5.realm

Realm即領域，相當於datasource資料來源，securityManager進行安全認證需要通過Realm獲取使用者許可權資料，比如：如果使用者身份資料在資料庫那麼realm就需要從資料庫獲取使用者身份資訊。

注意：不要把realm理解成只是從資料來源取資料，在realm中還有認證授權校驗的相關的程式碼。

6.sessionManager

sessionManager即會話管理，shiro框架定義了一套會話管理，它不依賴web容器的session，所以shiro可以使用在非web應用上，也可以將分散式應用的會話集中在一點管理，此特性可使它實現單點登入。

7.SessionDAO

SessionDAO即會話dao，是對session會話操作的一套介面，比如要將session儲存到資料庫，可以通過jdbc將會話儲存到資料庫。

8.CacheManager

CacheManager即快取管理，將使用者許可權資料儲存在快取，這樣可以提高效能。

9.Cryptography

Cryptography即密碼管理，shiro提供了一套加密/解密的元件，方便開發。比如提供常用的雜湊、加/解密等功能。

• 下面來一個小demo：

結構如下：

User類：

用於封裝使用者的資訊

    private String username;
    private String password;
    private String salt;
    private List<String> permis;

自定義的Realm：

其中，認證和授權都是在realm中實現的，我們需要繼承AuthorizingRealm抽象類並且實現裡面的doGetAuthenticationInfo（認證方法）、doGetAuthorizationInfo（授權方法）即可，其中當我們認證的時候會呼叫subject的login方法，會發現最後執行的認證方法是這個：this.authenticator.authenticate(token)

而authenticator在原始碼中在構造方法初始化是：this.authenticator = new ModularRealmAuthenticator();

所以最後呼叫的是ModularRealmAuthenticator的authenticate這個方法，其中authenticate是屬於父類的AbstractAuthenticator的一個方法，所以跳到AbstractAuthenticator的authenticate方法：

認證就會去執行doAuthenticate(token)方法，其中先會判斷使用者是否存在，如果不存在（為null）會丟擲：org.apache.shiro.authc.UnknownAccountException異常
如果存在但是憑證不匹配會丟擲：
org.apache.shiro.authc.IncorrectCredentialsException異常

授權也是一樣，如果沒被授權會丟擲：
org.apache.shiro.authc.IncorrectCredentialsException異常

public class MyRealm extends AuthorizingRealm {


    /**
     * 用於認證
     *
     * @param authenticationToken
     * @return
     * @throws AuthenticationException
     */
    protected AuthenticationInfo doGetAuthenticationInfo(AuthenticationToken authenticationToken) throws AuthenticationException {

        // 取出登入使用者名稱字
        String username = (String) authenticationToken.getPrincipal();

        // 根據名字查詢資料庫得到密碼
        User user = getPassword(username);

        // 如果查詢為空就返回空 丟擲org.apache.shiro.authc.UnknownAccountException
        if (null == user) {
            return null;
        }

        // 查詢到就組裝資訊返回 密碼錯誤丟擲：org.apache.shiro.authc.IncorrectCredentialsException
        SimpleAuthenticationInfo info = new SimpleAuthenticationInfo(user, user.getPassword(), ByteSource.Util.bytes(user.getSalt()), this.getClass().getName());

        return info;
    }

    /**
     * 用於授權
     *
     * @param principalCollection
     * @return
     */
    protected AuthorizationInfo doGetAuthorizationInfo(PrincipalCollection principalCollection) {

        // 取出身份資訊
        User user = (User) principalCollection.getPrimaryPrincipal();

        // 查詢資料庫獲取該使用者的許可權資訊
        List<String> permiss = getPermiss(user.getUsername());

        // 組裝授權資訊 沒有許可權丟擲:org.apache.shiro.authc.IncorrectCredentialsException
        SimpleAuthorizationInfo info = new SimpleAuthorizationInfo();

        info.addStringPermissions(permiss);

        return info;
    }

    /**
     * 模擬資料庫查詢認證資訊
     *
     * @param username
     * @return
     */
    private User getPassword(String username) {
        User user = new User();
        user.setUsername(username);
        user.setPassword("749d3c663c547ddf1ec5f7a39a7cef19");
        user.setSalt("salt1");
        return user;
    }


    /**
     * 模擬資料庫查詢授權資訊
     *
     * @param username
     * @return
     */
    private List<String> getPermiss(String username) {
        List<String> permis = new ArrayList<String>();
        permis.add("user:create");
        permis.add("user:query");
        return permis;
    }

}

主方法Bootstrap：

主要做測試用

public class MyBootstrap {
    public static void main(String[] args) {

        // 使用者輸入的賬號密碼
        String username = "lijie";
        String password = "111111";

        // 建立SecurityManager工廠
        Factory<SecurityManager> factory = new IniSecurityManagerFactory("classpath:realm.ini");

        // 建立SecurityManager
        SecurityManager securityManager = factory.getInstance();

        // 將SecurityManager設定到系統執行環境
        SecurityUtils.setSecurityManager(securityManager);

        // 建立subject
        Subject subject = SecurityUtils.getSubject();

        // 建立token
        UsernamePasswordToken token = new UsernamePasswordToken(username, password);

        // 認證
        try {
            subject.login(token);
        } catch (AuthenticationException e) {
            e.printStackTrace();
        }

        System.out.println("認證是否成功--> " + subject.isAuthenticated());

        boolean permitted = subject.isPermitted("user:create1");

        System.out.println("是否被授權--> " + permitted);
    }
}

realm.ini 檔案：

以後會用spring配置

[main]
credentialsMatcher=org.apache.shiro.authc.credential.HashedCredentialsMatcher
credentialsMatcher.hashAlgorithmName=md5
credentialsMatcher.hashIterations=1

#相當於注入MyRealm
myRealm= cn.lijie.realm.MyRealm
myRealm.credentialsMatcher=$credentialsMatcher
securityManager.realms=$myRealm

執行結果：