Java面试系列总结 ：Shiro

article/2025/10/7 16:45:16

1. 简单介绍一下Shiro框架

Apache Shiro是Java的一个安全框架。使用shiro可以非常容易的开发出足够好的应用，其不仅可以用在JavaSE环境，也可以用在JavaEE环境。Shiro可以帮助我们完成：认证、授权、加密、会话管理、与Web集成、缓存等。

三个核心组件：Subject, SecurityManager 和 Realms.

Subject：即“当前操作用户”。但是，在Shiro中，Subject这一概念并不仅仅指人，也可以是第三方进程、后台帐户（Daemon Account）或其他类似事物。它仅仅意味着“当前跟软件交互的东西”。但考虑到大多数目的和用途，你可以把它认为是Shiro的“用户”概念。
Subject代表了当前用户的安全操作，SecurityManager则管理所有用户的安全操作。

SecurityManager：它是Shiro 框架的核心，典型的Facade 模式，Shiro通过SecurityManager来管理内部组件实例，并通过它来提供安全管理的各种服务。

Realm： Realm充当了Shiro与应用安全数据间的“桥梁”或者“连接器”。也就是说，当对用户执行认证（登
录）和授权（访问控制）验证时，Shiro会从应用配置的Realm中查找用户及其权限信息。

2. Shiro主要的四个组件

1）SecurityManager

典型的 Facade，Shiro 通过它对外提供安全管理的各种服务。

2）Authenticator

对“Who are you ？”进行核实。通常涉及用户名和密码。 这个组件负责收集 principals 和 credentials，并将它们提交给应用系统。如果提交的 credentials 跟应用系统中提供的 credentials 吻合，就能够继续访问，否则需要重新提交 principals 和 credentials， 或者直接终止访问。

3）Authorizer

身份份验证通过后，由这个组件对登录人员进行访问控制的筛查，比如“who can do what”， 或者“who can do which actions”。 Shiro 采用“基于 Realm”的方法，即用户（又称 Subject）、 用户组、角 色和 permission 的聚合体。

4）Session Manager

这个组件保证了异构客户端的访问，配置简单。它是基于 POJO/J2SE 的，不跟任何的客户 端或者协议绑定。

3. Shiro运行原理

在这里插入图片描述
1、Application Code:应用程序代码，就是我们自己的编码，如果在程序中需要进 行权限控制，需要调用 Subject 的 API。

2、Subject:主体，代表的了当前用户。所有的 Subject 都绑定到 SecurityManager， 与 Subject 的所有交互都会委托给 SecurityManager,可以将 Subject 当成一个 门面，而真正执行者是 SecurityManager 。

3、SecurityManage:安全管理器，所有与安全有关的操作都会与 SecurityManager 交互，并且它管理所有的 Subject 。

4、Realm:域 shiro 是从 Realm 来获取安全数据（用户，角色，权限）。就是说 SecurityManager 要验证用户身份， 那么它需要从 Realm 获取相应的用户进行比较以确定用户 身份是否合法；也需要从Realm 得到用户相应的角色/权限进行验证用户是否 能进行操作； 可以把 Realm 看成 DataSource，即安全数据源 。

4. Shiro的四种权限控制方式

1）在自定义的realm中进行权限控制

在applicationContext.xml文件中添加 /areaAction_pageQuery.action = perms[“area”]

<bean id="shiroFilter" class="org.apache.shiro.spring.web.ShiroFilterFactoryBean"><!-- 注入shiro框架核心对象，安全管理器 --><property name="securityManager" ref="securityManager"/><!--private String loginUrl;登录页面private String successUrl;登录成功后跳转页面private String unauthorizedUrl;权限不足时的提示页面--><property name="loginUrl" value="/login.html"/><property name="successUrl" value="/index.html"/><property name="unauthorizedUrl" value="/unauthorized.html"/><!-- 指定URL拦截规则 --><property name="filterChainDefinitions"><!--authc:代表shiro框架提供的一个过滤器，这个过滤器用于判断当前用户是否已经完成认证，如果当前用户已经认证，就放行，如果当前用户没有认证，跳转到登录页面anon:代表shiro框架提供的一个过滤器，允许匿名访问--><value>/css/* = anon/images/* = anon/js/** = anon/validatecode.jsp* = anon/userAction_login.action = anon/areaAction_pageQuery.action = perms["area"]/** = authc</value></property>
</bean>

此时访问areaAction_pageQuery.action是页面不会查询到数据,须要为用户授权

    /*** 授权方法*/@Overrideprotected AuthorizationInfo doGetAuthorizationInfo(PrincipalCollection arg0) {SimpleAuthorizationInfo info = new SimpleAuthorizationInfo();//为用户授权,只需将用户的权限添加info中即可info.addStringPermission("area");return info;}

在自定义realm中为用户授权

2）使用shiro注解为用户授权

1.在spring配置文件applicationContext.xml中配置开启shiro注解支持

    <!-- 基于spring自动代理方式为service创建代理对象,实现权限控制 --><bean class="org.springframework.aop.framework.autoproxy.DefaultAdvisorAutoProxyCreator"><!-- 强制使用cglibdaili --><property name="proxyTargetClass" value="true"></property></bean><!-- 配置切面 --><bean class="org.apache.shiro.spring.security.interceptor.AuthorizationAttributeSourceAdvisor"><property name="securityManager" ref="securityManager"></property></bean>

2.配置事物注解,强制使用cglib代理

<tx:annotation-driven proxy-target-class="true" transaction-manager="transactionManager" />

3.在service上配置注解

    @RequiresPermissions("courier:delete")public void deleteBatch(String ids) {//判断是否为空if(StringUtils.isNoneBlank(ids)){String[] idsArrays = ids.split(",");for (String id : idsArrays) {Integer courierid = Integer.parseInt(id);dao.deleteCourier(courierid);}}}

3）使用shiro标签进行权限控制

1.在jsp页面中引入shiro标签库

<%@ taglib prefix="shiro" uri="http://shiro.apache.org/tags" %>

2.在页面中使用标签

<%@ page language="java" contentType="text/html; charset=utf-8"pageEncoding="utf-8"%>
<%@ taglib prefix="shiro" uri="http://shiro.apache.org/tags" %>
<!DOCTYPE html PUBLIC "-//W3C//DTD HTML 4.01 Transitional//EN" "http://www.w3.org/TR/html4/loose.dtd">
<html>
<head>
<meta http-equiv="Content-Type" content="text/html; charset=ISO-8859-1">
<title>Insert title here</title>
</head>
<body><!-- 判断当前用户是否已经认证,已认证就可以看到标签中的内容 --><shiro:authenticated>看到内容就说明你已经认证成功了!</shiro:authenticated><br><!-- 判断当前用户是否拥有指定的权限 --><shiro:hasPermission name="area"><input value="这是判断权限的按钮"></shiro:hasPermission><br><!-- 判断当前用户是否拥有指定的角色 --><shiro:hasRole name="admin"><input value="这是判断角色的按钮"></shiro:hasRole>
</body>
</html>

4）编程方式实现用户权限控制

    Subject subject = SecurityUtils.getSubject();if(subject.hasRole("admin")){//有权限}else{//无权限}

5. 授权实现的流程

（1）什么是粗颗粒和细颗粒权限？

对资源类型的管理称为粗颗粒度权限控制，即只控制到菜单、按钮、方法，粗粒度的例子比如：用户具有用户管理的权限，具有导出订单明细的权限。对资源实例的控制称为细颗粒度权限管理，即控制到数据级别的权限，比如：用户只允许修改本部门的员工信息，用户只允许导出自己创建的订单明细。

总结：
粗颗粒权限：针对url链接的控制。
细颗粒权限：针对数据级别的控制。

比如：查询用户权限。
卫生局可以查询所有用户。
卫生室可以查询本单位的用户。

通常在service中编程实现。

（2）粗颗粒和细颗粒如何授权？

对于粗颗粒度的授权可以很容易做系统架构级别的功能，即系统功能操作使用统一的粗颗粒度的权限管理。

对于细颗粒度的授权不建议做成系统架构级别的功能，因为对数据级别的控制是系统的业务需求，随着业务需求的变更业务功能变化的可能性很大，建议对数据级别的权限控制在业务层个性化开发，比如：用户只允许修改自己创建的商品信息可以在service接口添加校验实现，service接口需要传入当前操作人的标识，与商品信息创建人标识对比，不一致则不允许修改商品信息。

粗颗粒权限：可以使用过虑器统一拦截url。
细颗粒权限：在service中控制，在程序级别来控制，个性化编程。

欢迎关注作者的公众号《Java编程生活》，每日记载Java程序猿工作中遇到的问题
在这里插入图片描述


http://chatgpt.dhexx.cn/article/RhUKeuIw.shtml

相关文章

Shiro知识总结二

Shiro知识总结二

3. 与 Spring Boot 整合 3.1 框架整合 依赖 <dependencies><dependency><groupId>org.springframework.boot</groupId><artifactId>spring-boot-starter-thymeleaf</artifactId></dependency><dependency><groupId>o…
阅读更多...
Shiro相关知识

Shiro相关知识

1、Shiro功能概述 Apache Shiro是一个功能强大且易于使用的 Java 安全框架&#xff0c;可执行身份验证、授权、加密和会话管理。 主要功能&#xff1a; Authentication&#xff1a;身份认证。登录时验证身份信息。 Authorization&#xff1a;授权操作。访问控制的过程&…
阅读更多...
Spring、SpringMVC、Shiro面试题

Spring、SpringMVC、Shiro面试题

Tags : JavaEE,Spring,面试题发表时间&#xff1a; 2014-11-29 15:03:53 原创作品&#xff0c;允许转载&#xff0c;转载时请务必以超链接形式标明文章 原始出处 、作者信息和本声明。否则将追究法律责任。 比如&#xff1a; 转自&#xff1a;Su的技术博客 原文地址&#xff…
阅读更多...
Shiro知识总结一

Shiro知识总结一

1. 基础知识 1.1 什么是Shiro Apache Shiro 是一个功能强大且易于使用的 Java 安全(权限)框架。Shiro 可以完成&#xff1a;认证、授权、加密、会话管理、与 Web 集成、缓存 等。借助 Shiro 您可以快速轻松地保护任何应用程序——从最小的移动应用程序到最大的 Web 和企业应…
阅读更多...
Shiro总结面试问题

Shiro总结面试问题

Shiro总结 Shiro可做哪些事&#xff1a; 认证、授权、加密、会话管理、与web集成、缓存等 最简单的Shiro应用是怎样运行的&#xff1a; 应用代码通过Subject来进行认证和授权&#xff0c;而Subject又委托给SecurityManager 我们需要给Shiro的SecurityManager注入Realm,从而让S…
阅读更多...
python中socket进行多线程,利用 Socket怎么在Python项目中实现一个多线程并发功能...

python中socket进行多线程,利用 Socket怎么在Python项目中实现一个多线程并发功能...

利用 Socket怎么在Python项目中实现一个多线程并发功能 发布时间：2020-12-11 13:55:06 来源：亿速云 阅读：95 作者：Leah 这篇文章给大家介绍利用 Socket怎么在Python项目中实现一个多线程并发功能，内容非常详细，感兴趣的小伙伴们可以参考借鉴，希望对大家能有所帮助。 1.S…
阅读更多...
Jmeter多线程并发和压测结果分析

Jmeter多线程并发和压测结果分析

一、多线程并发 1. 线程组简介： (1). 线程数： 配置虚拟用户数量 (2). Ramp-Up时间：设置的虚拟用户数需要多长时间全部启动，如果线程数为10，准备时长为2，那么需要2秒钟启动10个线程，也就是每秒钟启动5个线程。 (3). 循环次数 (4). 调度器-持续时间(秒)，压测多长时间…
阅读更多...
面试必问！多线程并发问题

面试必问！多线程并发问题

多线程并发问题&#xff0c;基本是面试必问的。 大部分同学应该都知道Synchronized&#xff0c;Lock&#xff0c;部分同学能说到volatile、并发包&#xff0c;优秀的同学则能在前面的基础上&#xff0c;说出Synchronized、volatile的原理&#xff0c;以及并发包中常用的数据结…
阅读更多...
实际场景中的多线程并发编程案例

实际场景中的多线程并发编程案例

目录 使用多线程的意义&#xff1a; CountDownLatch 案例一&#xff1a;多线程同步发起并发请求 案例二&#xff1a;rocketmq内&#xff0c;每个broker将自己注册到所有的nameserver时 案例三&#xff1a;利用异步线程实现同步请求 CompletableFuture 应用一&#xff1a…
阅读更多...
【已解决】利用 Java 多线程并发编程提高数据处理效率

【已解决】利用 Java 多线程并发编程提高数据处理效率

&#x1f389;工作场景中遇到这样一个需求&#xff1a;根据主机的 IP 地址联动更新其他模型的相关信息。需求很简单&#xff0c;只涉及一般的数据库联动查询以及更新操作&#xff0c;然而在编码实现过程中发现&#xff0c;由于主机的数量很多&#xff0c;导致循环遍历查询、更新…
阅读更多...
c++ 多线程并发

c++ 多线程并发

基于C11的线程池(threadpool),简洁且可以带任意多的参数 - _Ong - 博客园 C11多线程编程(六)——线程池的实现 1. ① thread #include <iostream> #include <thread>class A { public:void operator()() {std::cout << "11111\n";} };int main…
阅读更多...
python多线程并发请求

python多线程并发请求

再api测试时&#xff0c;避免不了高并发的测试情况。所以以下案例为线程并发请求代码&#xff0c;以请求百度为例 #!/usr/bin/env python #!coding:utf-8 from __future__ import division from threading import Thread import requests import matplotlib.pyplot as plt imp…
阅读更多...
多线程并发的一些解决思路

多线程并发的一些解决思路

一、利用不变性解决并发问题 不变性&#xff08;Immutability&#xff09;模式。所谓不变性&#xff0c;简单来讲&#xff0c;就是对象一旦被创建之后&#xff0c;状态就不再发生变化。换句话说&#xff0c;就是变量一旦被赋值&#xff0c;就不允许修改了&#xff08;没有写操…
阅读更多...
python之多线程并发

python之多线程并发

前言 今天呢笔者想和大家来聊聊python多线程的并发&#xff0c;废话就不多说了咱们直接进入主题哟。 一、线程执行 python的内置模块提供了两个内置模块&#xff1a;thread和threading&#xff0c;thread是源生模块&#xff0c;threading是扩展模块&#xff0c;在thread的基础…
阅读更多...
python多线程并发测试

python多线程并发测试

python多线程 文章目录 python多线程一、并发与并行&#xff1f;二、同步与异步的概念&#xff1f;三、线程与进程的区别&#xff1f;需求1&#xff1a;多线程执行不同任务&#xff1a;需求2&#xff1a;多线程执行相同任务&#xff1a;1.threading并发性2.多线程并发---资源共…
阅读更多...
JAVA多线程并发

JAVA多线程并发

JAVA并发知识库 JAVA线程实现/创建方式 1.继承Thread类 Thread类本质上时实现了Runnable接口的一个实例&#xff0c;代表一个现成的实例。启动线程的唯一方法就是通过Thread类的start()实例方法。start()方法是一个native方法&#xff0c;它将启动一个新线程&#xff0c;并执…
阅读更多...
多线程 与并发

多线程 与并发

官方文档 https://docs.oracle.com/javase/tutorial/essential/concurrency/index.html 推荐《Java高并发编程详解&#xff1a;多线程与架构设计》 推荐《Java高并发编程详解&#xff1a;深入理解并发核心库》 有很多工具的基准测试 同步和异步 所谓同步就是一个任务的完成需…
阅读更多...
多线程和并发问题详解

多线程和并发问题详解

文章目录 一、进程与线程二、并发与并行1、线程安全问题&#xff1a;2、共享内存不可见性问题 三、创建线程四、Thread类详解五、其他方法六、实例 一、进程与线程 进程&#xff1a;是代码在数据集合上的一次运行活动&#xff0c;是系统进行资源分配和调度的基本单位。 线程&…
阅读更多...
面试官：多线程问题你一问三不知，还要我怎么“放水”？

面试官：多线程问题你一问三不知，还要我怎么“放水”？

面试官：问你几个多线程相关的问题吧，说一下导致线程死锁的原因，怎么解除线程死锁？ 程序员阿里：这个...死锁... （一分钟后） 面试官：不知道？那好，说一下Lock 和 Synchronized 的区别？ 程序员阿里：Lock是锁... 面试官：...会就会，不会就说不会，节省一下时间，s…
阅读更多...
多线程（并发执行）

多线程（并发执行）

一、概念区分 1、并行与并发 并行 ​ 当系统有一个以上CPU时&#xff0c;同一时刻&#xff0c;当一个CPU在执行一个任务时&#xff0c;另一个CPU在执行另一个任务&#xff0c;两个任务互不抢占CPU资源&#xff0c;可以同时进行&#xff08;多核CPU&#xff0c;一个CPU执行一…
阅读更多...
推荐文章

Copyright @ 2022~2023