Java Shiro相关知识点有哪些

Apache Shiro 是一个强大且易用的 Java 安全框架，提供了身份验证、授权、加密和会话管理等功能。本文将介绍 Shiro 的核心概念、主要功能以及如何使用 Shiro 来保护 Java 应用程序。

1. Shiro 的核心概念

1.1 Subject

Subject 是 Shiro 的核心概念之一，代表当前与应用程序交互的用户或系统。Subject 可以是人、设备、第三方服务等。通过 Subject，可以执行身份验证、授权等操作。

Subject currentUser = SecurityUtils.getSubject();

1.2 SecurityManager

SecurityManager 是 Shiro 的核心组件，负责管理所有 Subject 的安全操作。它是 Shiro 的“大脑”，协调各个安全组件的工作。

SecurityManager securityManager = new DefaultSecurityManager();
SecurityUtils.setSecurityManager(securityManager);

1.3 Realm

Realm 是 Shiro 与应用程序安全数据（如用户、角色、权限）之间的桥梁。Realm 负责从数据源（如数据库、LDAP）中获取安全数据，并将其提供给 Shiro 进行身份验证和授权。

public class MyRealm extends AuthorizingRealm {
    @Override
    protected AuthorizationInfo doGetAuthorizationInfo(PrincipalCollection principals) {
        // 授权逻辑
    }

    @Override
    protected AuthenticationInfo doGetAuthenticationInfo(AuthenticationToken token) throws AuthenticationException {
        // 身份验证逻辑
    }
}

2. Shiro 的主要功能

2.1 身份验证（Authentication）

身份验证是确认用户身份的过程。Shiro 提供了简单易用的 API 来执行身份验证操作。

UsernamePasswordToken token = new UsernamePasswordToken(username, password);
Subject currentUser = SecurityUtils.getSubject();
currentUser.login(token);

2.2 授权（Authorization）

授权是确定用户是否有权限执行某个操作的过程。Shiro 支持基于角色和基于权限的授权。

if (currentUser.hasRole("admin")) {
    // 用户拥有 admin 角色
}

if (currentUser.isPermitted("user:create")) {
    // 用户拥有创建用户的权限
}

2.3 会话管理（Session Management）

Shiro 提供了会话管理功能，可以在任何环境中管理用户会话，而不仅限于 Web 环境。

Session session = currentUser.getSession();
session.setAttribute("key", "value");

2.4 加密（Cryptography）

Shiro 提供了强大的加密工具，包括哈希算法、加密算法等，用于保护敏感数据。

String hashedPassword = new Sha256Hash(password).toHex();

3. Shiro 的配置

3.1 INI 配置

Shiro 支持通过 INI 文件进行配置，通常用于简单的应用程序。

[main]
myRealm = com.example.MyRealm
securityManager.realms = $myRealm

3.2 Spring 集成

Shiro 可以与 Spring 框架无缝集成，通过 Spring 配置文件进行配置。

<bean id="securityManager" class="org.apache.shiro.web.mgt.DefaultWebSecurityManager">
    <property name="realm" ref="myRealm"/>
</bean>

<bean id="myRealm" class="com.example.MyRealm"/>

4. Shiro 的扩展

4.1 自定义 Realm

可以通过继承 AuthorizingRealm 类来实现自定义 Realm，以满足特定的安全需求。

public class CustomRealm extends AuthorizingRealm {
    @Override
    protected AuthorizationInfo doGetAuthorizationInfo(PrincipalCollection principals) {
        // 自定义授权逻辑
    }

    @Override
    protected AuthenticationInfo doGetAuthenticationInfo(AuthenticationToken token) throws AuthenticationException {
        // 自定义身份验证逻辑
    }
}

4.2 自定义过滤器

可以通过实现 Filter 接口或继承 AccessControlFilter 类来实现自定义过滤器，以控制请求的访问权限。

public class CustomFilter extends AccessControlFilter {
    @Override
    protected boolean isAccessAllowed(ServletRequest request, ServletResponse response, Object mappedValue) throws Exception {
        // 自定义访问控制逻辑
        return true;
    }

    @Override
    protected boolean onAccessDenied(ServletRequest request, ServletResponse response) throws Exception {
        // 自定义访问拒绝处理逻辑
        return false;
    }
}

5. 总结

Apache Shiro 是一个功能强大且易于使用的 Java 安全框架，适用于各种类型的应用程序。通过 Shiro，开发者可以轻松实现身份验证、授权、会话管理和加密等功能。本文介绍了 Shiro 的核心概念、主要功能、配置方法以及如何扩展 Shiro 以满足特定的安全需求。希望本文能帮助你更好地理解和使用 Shiro。