Apache Shiro

What is Apache Shiro?

Apache Shiro是一個功能強大、靈活的，開源的安全框架。它可以乾淨利落地處理身份驗證、授權、企業會話管理和加密。

Apache Shiro的首要目標是易於使用和理解。安全通常很複雜，甚至讓人感到很痛苦，但是Shiro卻不是這樣子的。一個好的安全框架應該遮蔽複雜性，向外暴露簡單、直觀的API，來簡化開發人員實現應用程式安全所花費的時間和精力。

Shiro能做什麼呢？

• 驗證使用者身份
• 使用者訪問許可權控制，比如：1、判斷使用者是否分配了一定的安全形色。2、判斷使用者是否被授予完成某個操作的許可權
• 在非 web 或 EJB 容器的環境下可以任意使用Session API
• 可以響應認證、訪問控制，或者 Session 生命週期中發生的事件
• 可將一個或以上使用者安全資料來源資料組合成一個複合的使用者 “view”(檢視)
• 支援單點登入(SSO)功能
• 支援提供“Remember Me”服務，獲取使用者關聯資訊而無需登入
  …

等等——都整合到一個有凝聚力的易於使用的API。

Shiro 致力在所有應用環境下實現上述功能，小到命令列應用程式，大到企業應用中，而且不需要藉助第三方框架、容器、應用伺服器等。當然 Shiro 的目的是儘量的融入到這樣的應用環境中去，但也可以在它們之外的任何環境下開箱即用。

Apache Shiro Features 特性

Apache Shiro是一個全面的、蘊含豐富功能的安全框架。下圖為描述Shiro功能的框架圖：

Authentication（認證）, Authorization（授權）, Session Management（會話管理）, Cryptography（加密）被 Shiro 框架的開發團隊稱之為應用安全的四大基石。那麼就讓我們來看看它們吧：

• Authentication（認證）：使用者身份識別，通常被稱為使用者“登入”
• Authorization（授權）：訪問控制。比如某個使用者是否具有某個操作的使用許可權。
• Session Management（會話管理）：特定於使用者的會話管理,甚至在非web 或 EJB 應用程式。
• Cryptography（加密）：在對資料來源使用加密演算法加密的同時，保證易於使用。

還有其他的功能來支援和加強這些不同應用環境下安全領域的關注點。特別是對以下的功能支援：

• Web支援：Shiro 提供的 web 支援 api ，可以很輕鬆的保護 web 應用程式的安全。
• 快取：快取是 Apache Shiro 保證安全操作快速、高效的重要手段。
• 併發：Apache Shiro 支援多執行緒應用程式的併發特性。
• 測試：支援單元測試和整合測試，確保程式碼和預想的一樣安全。
• “Run As”：這個功能允許使用者假設另一個使用者的身份(在許可的前提下)。
• “Remember Me”：跨 session 記錄使用者的身份，只有在強制需要時才需要登入。

注意： Shiro不會去維護使用者、維護許可權，這些需要我們自己去設計/提供，然後通過相應的介面注入給Shiro

High-Level Overview 高階概述

在概念層，Shiro 架構包含三個主要的理念：Subject,SecurityManager和 Realm。下面的圖展示了這些元件如何相互作用，我們將在下面依次對其進行描述。

• Subject：當前使用者，Subject 可以是一個人，但也可以是第三方服務、守護程序帳戶、時鐘守護任務或者其它–當前和軟體互動的任何事件。
• SecurityManager：管理所有Subject，SecurityManager 是 Shiro 架構的核心，配合內部安全元件共同組成安全傘。
• Realms：用於進行許可權資訊的驗證，我們自己實現。Realm 本質上是一個特定的安全 DAO：它封裝與資料來源連線的細節，得到Shiro 所需的相關的資料。在配置 Shiro 的時候，你必須指定至少一個Realm 來實現認證（authentication）和/或授權（authorization）。

我們需要實現Realms的Authentication 和 Authorization。其中 Authentication 是用來驗證使用者身份，Authorization 是授權訪問控制，用於對使用者進行的操作授權，證明該使用者是否允許進行當前操作，如訪問某個連結，某個資原始檔等。

RBAC

RBAC 是基於角色的訪問控制（Role-Based Access Control ）在 RBAC 中，許可權與角色相關聯，使用者通過成為適當角色的成員而得到這些角色的許可權。這就極大地簡化了許可權的管理。這樣管理都是層級相互依賴的，許可權賦予給角色，而把角色又賦予使用者，這樣的許可權設計很清楚，管理起來很方便。