spring shiro

1.shiro定义
Apache Shiro是一个强大且易用的Java安全框架,执行身份验证、授权、密码和会话管理。使用Shiro的易于理解的API,您可以快速、轻松地获得任何应用程序,从最小的移动应用程序到最大的网络和企业应用程序。
2.shiro主要功能
Authentication 身份认证/登录，验证用户是不是拥有相应的身份
Authorization 授权，即权限验证，判断某个已经认证过的用户是否拥有某些权限访问某些资源
SessionManager 会话管理，即用户登录后就是一次会话，在没有退出之前，它的所有信息都在会话中
Cryptography
加密，保护数据的安全性，如密码加密存储到数据库，而不是明文存储；
3.shiro组件

subject:当前“用户”，与当前应用交互的任何东西都是Subject；所有Subject都绑定到SecurityManager，与Subject的所有交互都会委托给SecurityManager；可以把Subject认为是一个门面.
SecurityManager:安全管理器,Shiro的核心;所有与安全有关的操作都会与SecurityManager交互；它管理着所有Subject，负责与其他组件进行交互,进行认证和授权、及会话、缓存的管理
Realm:域，Shiro从Realm获取安全数据（如用户、角色、权限）SecurityManager要验证用户身份，那么它需要从Realm获取相应的用户进行比较以确定用户身份是否合法；也需要从Realm得到用户相应的角色/权限进行验证用户是否能进行操作；
sessionManage:管理session生命周期。
SessionDAO:对session进行crud操作。
cacheManager:缓存控制器，来管理如用户、角色、权限等的缓存的。
Cryptography:密码模块
4.web.xml

  <!-- shiro过滤器定义 -->  <filter>    <filter-name>shiroFilter</filter-name>    <filter-class>org.springframework.web.filter.DelegatingFilterProxy</filter-class>    <init-param>      <!-- 该值缺省为false,表示生命周期由SpringApplicationContext管理,设置为true则表示由ServletContainer管理 -->      <param-name>targetFilterLifecycle</param-name>      <param-value>true</param-value>    </init-param>  </filter>  <filter-mapping>    <filter-name>shiroFilter</filter-name>    <url-pattern>/*</url-pattern>  </filter-mapping>  <!-- Spring监听器 -->

DelegatingFilterProxy 它会将实际的工作，交给spring配置文件中 id=”shiroFilter” 的bean来处理

如果设置”targetFilterLifecycle”为True，则spring来管理Filter.init()和Filter.destroy()；若为false，则这两个方法失效

<!-- Shiro过滤器 核心-->    <bean id="shiroFilter" class="org.apache.shiro.spring.web.ShiroFilterFactoryBean">        <!-- Shiro的核心安全接口,这个属性是必须的 -->        <property name="securityManager" ref="securityManager"/>        <!-- 身份认证失败，则跳转到登录页面的配置 -->        <property name="loginUrl" value="/user/tree"/>        <!-- 登陆成功后跳转的配置 -->        <property name="successUrl" value="/main" />        <!-- Shiro连接约束配置,即过滤链的定义 -->        <property name="filterChainDefinitions">            <value>                <!--anon 表示匿名访问，不需要认证以及授权-->                /loginAdmin=anon                <!--authc表示需要认证 没有进行身份认证是不能进行访问的-->                /user/tree=authc                /student=roles[teacher]                /teacher=perms["user:create"]            </value>        </property>    </bean>

anon 游客，未登录
authc 必须认证才能访问
user 必须存在用户
perms[“user:create”] 必须有权限
roles[teacher] 必须有角色
logout 现有的Session 会失效

Shiro验证URL时,URL匹配成功便不再继续匹配查找(所以要注意配置文件中的URL顺序,尤其在使用通配符时) 故filterChainDefinitions的配置顺序为自上而下,以最上面的为准

<!-- 配置自定义Realm -->    <bean id="myRealm" class="com.you.impservice.MyRealm"/>    <!-- 安全管理器 -->    <bean id="securityManager" class="org.apache.shiro.web.mgt.DefaultWebSecurityManager">        <property name="realm" ref="myRealm"/>    </bean>     <!-- 保证实现了Shiro内部lifecycle函数的bean执行 -->    <bean id="lifecycleBeanPostProcessor" class="org.apache.shiro.spring.LifecycleBeanPostProcessor"/>    <!-- 开启Shiro注解 -->    <bean class="org.springframework.aop.framework.autoproxy.DefaultAdvisorAutoProxyCreator"          depends-on="lifecycleBeanPostProcessor"/>    <bean class="org.apache.shiro.spring.security.interceptor.AuthorizationAttributeSourceAdvisor">        <property name="securityManager" ref="securityManager"/>    </bean>

LifecycleBeanPostProcessor用于在实现了Initializable接口的Shiro bean初始化时调用Initializable接口回调，在实现了Destroyable接口的Shiro bean销毁时调用 Destroyable接口回调
depends-on属性指定bean前置依赖的bean,前置依赖的bean会在本bean实例化之前创建好

5. 类和方法
AuthorizingRealm 验证
doGetAuthenticationInfo(AuthenticationToken authcToken){}登录验证，验证用户名，密码，验证码等
doGetAuthorizationInfo(PrincipalCollection principals) {}权限验证
SimpleAuthorizationInfo 存放角色，用户权限
protected Set roles; //获取角色字符串信息
protected Set stringPermissions; //获取权限字符串信息
protected Set objectPermissions; //获取Permission对象信息
6.注解和标签

<%@taglib prefix="shiro" uri="http://shiro.apache.org/tags" %>  <shiro:hasRole name="admin">      用户拥有角色admin</shiro:hasRole>  <shiro:hasAnyRoles name="admin,user">      拥有角色admin或user</shiro:hasAnyRoles>   <shiro:lacksRole name="abc">      用户没有角色abc</shiro:lacksRole>   <shiro:hasPermission name="user:create">      用户拥有权限user:create</shiro:hasPermission>   @RequiresRoles("admin") 需要角色admin @RequiresPermissions("cargoorder:cargoOrderInfo:view") 需要权限cargoorder:cargoOrderInfo:view

7.http://www.jianshu.com/p/6786ddf54582
8.参考资料
■http://jinnianshilongnian.iteye.com/category/305053

■http://shiro.apache.org/

■http://www.open-open.com/doc/list/256