Shiro筆記——簡介、 架構分析

1. Shiro是什麼

　　Apache Shiro是一個強大靈活的開源安全架構，可以完全處理身份驗證，授權，企業會話管理和加密。

　　Apache Shiro的首要目标是易于使用和了解。 安全有時可能非常複雜，甚至痛苦，但使用Shiro後就不一定是這樣了。 架構應該在可能的情況下掩蓋複雜性，并展示一個幹淨，直覺的API，這簡化了開發人員工作，并使應用程式更安全。

這裡有一些可以使用Apache Shiro完全的應用場景：

• 驗證使用者以及驗證其身份。
• 對使用者執行通路控制，例如：在任何環境中使用會話API，即使沒有Web或EJB容器。
  • 确定使用者是否配置設定了某個安全角色。
  • 确定使用者是否被允許執行操作。
• 在身份驗證，通路控制或會話有效期内對事件做出反應。
• 聚合

  1

  個或多個使用者安全資料的資料源，并将此全部顯示為單個複合使用者的“視圖”。
• 啟用單點登入(SSO)功能。

• 為使用者關聯啟用“記住我”服務，無需登入。

  … 和更多 - 所有都內建到一個内聚易于使用的API。

　　Shiro嘗試為所有應用程式環境實作這些目标 - 從最簡單的指令行應用程式到最大的企業應用程式，而不強制依賴于其他第三方架構，容器或應用程式伺服器。 當然，該項目(Shiro)旨在盡可能地內建到這個Shiro環境中，進而可以在任何環境中想用即用。

2. Shiro體系結構

　　　　　　　　　　　　

Shiro目标是什麼？

Shiro開發團隊稱為“應用程式安全的四個基石” - 即：認證，授權，會話管理和加密：

Authentication：身份認證 / 登入，驗證使用者是不是擁有相應的身份；

Authorization：授權，即權限驗證，驗證某個已認證的使用者是否擁有某個權限；即判斷使用者是否能做事情，常見的如：驗證某個使用者是否擁有某個角色。或者細粒度的驗證某個使用者對某個資源是否具有某個權限；

Session Manager：會話管理，即使用者登入後就是一次會話，在沒有退出之前，它的所有資訊都在會話中；會話可以是普通 JavaSE 環境的，也可以是如 Web 環境的；

Cryptography：加密，保護資料的安全性，如密碼加密存儲到資料庫，而不是明文存儲；

在不同的應用環境中還有其他特性支援和強化這些問題，特别是：

Web Support：Web 支援，可以非常容易的內建到 Web 環境；

Caching：緩存，比如使用者登入後，其使用者資訊、擁有的角色 / 權限不必每次去查，這樣可以提高效率；

Concurrency：并發性，shiro 支援多線程應用的并發驗證，即如在一個線程中開啟另一個線程，能把權限自動傳播過去；

Testing：測試，存在測試支援，可幫助您編寫單元測試和內建測試，并確定代碼按預期得到保障；

Run As：運作方式，允許使用者承擔另一個使用者的身份(如果允許)的功能，有時在管理方案中很有用；

Remember Me：記住我，這個是非常常見的功能，即一次登入後，下次再來的話不用登入了。

記住一點，Shiro 不會去維護使用者、維護權限；這些需要我們自己去設計 / 提供；然後通過相應的接口注入給 Shiro 即可。

3. 内外分析Shiro架構

     從外部和内部來看看 Shiro 的架構，對于一個好的架構，從外部來看應該具有非常簡單易于使用的 API，且 API 契約明确；從内部來看的話，其應該有一個可擴充的架構，即非常容易插入使用者自定義實作，因為任何架構都不能滿足所有需求。

3.1 從外部來看 Shiro（從應用程式角度的來觀察如何使用 Shiro 完成工作）

　　　　　　　　　　　

可以看到：應用代碼直接互動的對象是 Subject，也就是說 Shiro 的對外 API 核心就是 Subject。

其每個 API 的含義：

Subject：主體，代表了目前 “使用者”，這個使用者不一定是一個具體的人，與目前應用互動的任何東西都是 Subject，如網絡爬蟲，機器人等；即一個抽象概念；所有 Subject 都綁定到 SecurityManager，與 Subject 的所有互動都會委托給 SecurityManager；可以把 Subject 認為是一個門面；SecurityManager 才是實際的執行者；

SecurityManager：安全管理器；即所有與安全有關的操作都會與 SecurityManager 互動；且它管理着所有 Subject；可以看出它是 Shiro 的核心，它負責與後邊介紹的其他元件進行互動，如果學習過 SpringMVC，你可以把它看成 DispatcherServlet 前端控制器；

Realm：域，Shiro 從從 Realm 擷取安全資料（如使用者、角色、權限），就是說 SecurityManager 要驗證使用者身份，那麼它需要從 Realm 擷取相應的使用者進行比較以确定使用者身份是否合法；也需要從 Realm 得到使用者相應的角色 / 權限進行驗證使用者是否能進行操作；可以把 Realm 看成 DataSource，即安全資料源。

也就是說對于我們而言，最簡單的一個 Shiro 應用：

1. 1. 應用代碼通過 Subject 來進行認證和授權，而 Subject 又委托給 SecurityManager；
   2. 我們需要給 Shiro 的 SecurityManager 注入 Realm，進而讓 SecurityManager 能得到合法的使用者及其權限進行判斷。

從以上也可以看出，Shiro 不提供維護使用者 / 權限，而是通過 Realm 讓開發人員自己注入。

3.2 從内部來看 Shiro 的架構

　　　　　　　　　　　　　　

Subject：主體，可以看到主體可以是任何可以與應用互動的 “使用者”；

SecurityManager：相當于 SpringMVC 中的 DispatcherServlet 或者 Struts2 中的 FilterDispatcher；是 Shiro 的心髒；所有具體的互動都通過 SecurityManager 進行控制；它管理着所有 Subject、且負責進行認證和授權、及會話、緩存的管理。

Authenticator：認證器，負責主體認證的，這是一個擴充點，如果使用者覺得 Shiro 預設的不好，可以自定義實作；其需要認證政策（Authentication Strategy），即什麼情況下算使用者認證通過了；

Authrizer：授權器，或者通路控制器，用來決定主體是否有權限進行相應的操作；即控制着使用者能通路應用中的哪些功能；

Realm：可以有 1 個或多個 Realm，可以認為是安全實體資料源，即用于擷取安全實體的；可以是 JDBC 實作，也可以是 LDAP 實作，或者記憶體實作等等；由使用者提供；注意：Shiro 不知道你的使用者 / 權限存儲在哪及以何種格式存儲；是以我們一般在應用中都需要實作自己的 Realm；

SessionManager：如果寫過 Servlet 就應該知道 Session 的概念，Session 需要有人去管理它的生命周期，這個元件就是 SessionManager；而 Shiro 并不僅僅可以用在 Web 環境，也可以用在如普通的 JavaSE 環境、EJB 等環境；是以，Shiro 就抽象了一個自己的 Session 來管理主體與應用之間互動的資料；這樣的話，比如我們在 Web 環境用，剛開始是一台 Web 伺服器；接着又上了台 EJB 伺服器；這時想把兩台伺服器的會話資料放到一個地方，這個時候就可以實作自己的分布式會話（如把資料放到 Memcached 伺服器）；

SessionDAO：DAO 大家都用過，資料通路對象，用于會話的 CRUD，比如我們想把 Session 儲存到資料庫，那麼可以實作自己的 SessionDAO，通過如 JDBC 寫到資料庫；比如想把 Session 放到 Memcached 中，可以實作自己的 Memcached SessionDAO；另外 SessionDAO 中可以使用 Cache 進行緩存，以提高性能；

CacheManager：緩存控制器，來管理如使用者、角色、權限等的緩存的；因為這些資料基本上很少去改變，放到緩存中後可以提高通路的性能

Cryptography：密碼子產品，Shiro 提高了一些常見的加密元件用于如密碼加密 / 解密的。