Shiro是apache旗下一個開源框架，它將軟體系統的安全認證相關的功能抽取出來，實現使用者身份認證，許可權授權、加密、會話管理等功能，組成了一個通用的安全認證框架。也是當下比較主流的輕量級許可權管理框架。相較於spring security(原名Acegi)必須依賴spring ,shiro就顯的非常獨立。
Shiro 的核心：

• Subject 主體 用於記錄當前的操作使用者，Subject在shiro中是一個介面，介面中定義了很多認證授相關的方法，外部程式通過subject進行認證授權，而subject是通過SecurityManager安全管理器進行認證授權
• SecurityManager安全管理器，對Subject 進行管理，他是shiro的核心SecurityManager是一個介面，繼承了Authenticator, Authorizer, SessionManager這三個介面。
• Authenticator認證器 對使用者身份進行認證
• Authorizer 授權器 使用者通過認證後，來判斷時候擁有該許可權
• realm 獲取使用者許可權資料
• sessionManager 會話管理 shiro框架定義了一套會話管理，它不依賴web容器的session，所以shiro可以使用在非web應用上，也可以將分散式應用的會話集中在一點管理，此特性可使它實現單點登入。

• CacheManager 快取管理器 將使用者許可權資料儲存在快取，這樣可以提高效能。

  shiro 的認證過程：

• 1、 建立token令牌，token中有使用者提交的認證資訊即賬號和密碼
• 2、 執行subject.login(token)，最終由securityManager通過Authenticator進行認證
• 3、 Authenticator的實現ModularRealmAuthenticator呼叫realm從ini配置檔案取使用者真實的賬號和密碼，這裡使用的是IniRealm（shiro自帶）

• 4、 IniRealm先根據token中的賬號去ini中找該賬號，如果找不到則給ModularRealmAuthenticator返回null，如果找到則匹配密碼，匹配密碼成功則認證通過。

  shiro 的認證程式碼

// 使用者登陸、使用者退出
    @Test
    public void testLoginLogout() {

        // 構建SecurityManager工廠，IniSecurityManagerFactory可以從ini檔案中初始化SecurityManager環境
 

        Factory<SecurityManager> factory = new IniSecurityManagerFactory(
                "classpath:shiro.ini");

        // 通過工廠建立SecurityManager
        SecurityManager securityManager = factory.getInstance();

        // 將securityManager設定到執行環境中
        SecurityUtils.setSecurityManager(securityManager);

        // 建立一個Subject例項，該例項認證要使用上邊建立的securityManager進行
        Subject subject = SecurityUtils.getSubject();

        // 建立token令牌，記錄使用者認證的身份和憑證即賬號和密碼 
        UsernamePasswordToken token = new UsernamePasswordToken("zhang", "123");

        try {
            // 使用者登陸
            subject.login(token);
        } catch (AuthenticationException e) {
            // TODO Auto-generated catch block
            e.printStackTrace();
        }

        // 使用者認證狀態

        Boolean isAuthenticated = subject.isAuthenticated();

        System.out.println("使用者認證狀態：" + isAuthenticated);

        // 使用者退出

        subject.logout();

        isAuthenticated = subject.isAuthenticated();

        System.out.println("使用者認證狀態：" + isAuthenticated);

    }

shiro 的自定義realm 上面一篇文章已經說過，這裡就不做贅述了

shiro 的授權方式

1. 程式設計式 通過寫if/else 授權程式碼塊完成：
   Subject subject = SecurityUtils.getSubject();
   if(subject.hasRole(“admin”)) {
   //有許可權
   } else {
   //無許可權
   }
2. 註解式：通過在執行的Java方法上放置相應的註解完成：
   @RequiresRoles(“admin”)
   public void hello() {
   //有許可權
   }
   3. JSP/GSP 標籤：在JSP/GSP 頁面通過相應的標籤完成：