Shiro知识总结一

article/2025/10/7 16:44:06

1. 基础知识

1.1 什么是Shiro

Apache Shiro 是一个功能强大且易于使用的 Java 安全(权限)框架。Shiro 可以完成：认证、授权、加密、会话管理、与 Web 集成、缓存

等。借助 Shiro 您可以快速轻松地保护任何应用程序——从最小的移动应用程序到最大的 Web 和企业应用程序。

官网：https://shiro.apache.org/

1.2 为什么要用 Shiro

  • 易于使用：使用 Shiro 构建系统安全框架非常简单。就算第一次接触也可以快速掌握。

  • 全面：Shiro 包含系统安全框架需要的功能，满足安全需求的“一站式服务”。

  • 灵活：Shiro 可以在任何应用程序环境中工作。虽然它可以在 Web、EJB 和 IoC 环境中工作，但不需要依赖它们。Shiro 也没有强制

    要求任何规范，甚至没有很多依赖项。

  • 强力支持 Web：Shiro 具有出色的 Web 应用程序支持，可以基于应用程序 URL 和 Web 协议（例如 REST）创建灵活的安全策略，同

    时还提供一组 JSP 库来控制页面输出。

  • 兼容性强：Shiro 的设计模式使其易于与其他框架和应用程序集成。Shiro 与 Spring、Grails、Wicket、Tapestry、Mule、Apache

    Camel、Vaadin 等框架无缝集成。

  • 社区支持：Shiro 是 Apache 软件基金会的一个开源项目，有完备的社区支持，文档支持。如果需要，像 Katasoft 这样的商业公司也

    会提供专业的支持和服务。

1.3 Shiro 与 SpringSecurity 的对比

  • Spring Security 基于 Spring 开发，项目若使用 Spring 作为基础，配合 Spring Security 做权限更加方便，而 Shiro 需要和 Spring 进

    行整合开发

  • Spring Security 功能比 Shiro 更加丰富些，例如安全维护方面

  • Spring Security 社区资源相对比 Shiro 更加丰富

  • Shiro 的配置和使用比较简单，Spring Security 上手复杂些

  • Shiro 依赖性低，不需要任何框架和容器，可以独立运行。Spring Security 依赖 Spring 容器

  • Shiro 不仅仅可以使用在 web 中，它可以工作在任何应用环境中。在集群会话时 Shiro最重要的一个好处或许就是它的会话是独立于

    容器的

1.4 基本功能

功能

image-20220928105013547

  • Authentication：身份认证/登录，验证用户是不是拥有相应的身份

  • Authorization：授权，即权限验证，验证某个已认证的用户是否拥有某个权限；即判断用 户是否能进行什么操作，如：验证某个

    用户是否拥有某个角色。或者细粒度的验证某个用户对某个资源是否具有某个权限

  • Session Manager：会话管理，即用户登录后就是一次会话，在没有退出之前，它的所有信息都在会话中；会话可以是普通 JavaSE

    环境，也可以是 Web 环境的

  • Cryptography：加密，保护数据的安全性，如密码加密存储到数据库，而不是明文存储

  • Web Support：Web 支持，可以非常容易的集成到 Web 环境

  • Caching：缓存，比如用户登录后，其用户信息、拥有的角色/权限不必每次去查，这样可以提高效率

  • Concurrency：Shiro 支持多线程应用的并发验证，即如在一个线程中开启另一个线程，能把权限自动传播过去

  • Testing：提供测试支持

  • Run As：允许一个用户假装为另一个用户（如果他们允许）的身份进行访问

  • Remember Me：记住我，这个是非常常见的功能，即一次登录后，下次再来的话不用登录了

Shiro 架构—外部来看

image-20220928105714085

  • Subject：应用代码直接交互的对象是 Subject，也就是说 Shiro 的对外 API 核心就是 Subject。Subject 代表了当前“用户”， 这个

    用户不一定是一个具体的人，与当前应用交互的任何东西都是 Subject，如网络爬虫， 机器人等；与 Subject 的所有交互都会委托给

    SecurityManager； Subject 其实是一个门面，SecurityManager 才是实际的执行者

  • SecurityManager：安全管理器；即所有与安全有关的操作都会与 SecurityManager 交互；且其管理着所有 Subject；可以看出它

    是 Shiro 的核心，它负责与 Shiro 的其他组件进行交互，它相当于 SpringMVC 中 DispatcherServlet 的角色

  • Realm：Shiro 从 Realm 获取安全数据（如用户、角色、权限），就是说 SecurityManager 要验证用户身份，那么它需要从 Realm

    获取相应的用户进行比较以确定用户身份是否合法；也需要从 Realm 得到用户相应的角色/ 权限进行验证用户是否能进行操作；可以

    把 Realm 看成 DataSource

Shiro 架构—内部来看

image-20220928110020551

  • Subject：任何可以与应用交互的“用户”

  • SecurityManager ：相当于 SpringMVC 中的 DispatcherServlet；是 Shiro 的心脏； 所有具体的交互都通过 SecurityManager

    进行控制；它管理着所有 Subject、且负责进行认证、授权、会话及缓 存的管理

  • Authenticator：负责 Subject 认证，是一个扩展点，可以自定义实现；可以使用认证策略（Authentication Strategy），即什么情

    况下算用户认证通过了

  • Authorizer：授权器、即访问控制器，用来决定主体是否有权限进行相应的操作；即控制着用户能访问应用中的哪些功能

  • Realm：可以有 1 个或多个 Realm，可以认为是安全实体数据源，即用于获取安全实体的；可以是 JDBC 实现，也可以是内存实现等

    等；由用户提供；所以一般在应用中都需要实现自己的 Realm

  • SessionManager：管理 Session 生命周期的组件；而 Shiro 并不仅仅可以用在 Web 环境，也可以用在如普通的 JavaSE 环境

  • CacheManager：缓存控制器，来管理如用户、角色、权限等的缓存的；因为这些数据基本上很少改变，放到缓存中后可以提高访问

    的性能

  • Cryptography：密码模块，Shiro 提高了一些常见的加密组件用于如密码加密/解密

2. 基本使用

2.1 环境准备

首先我们不使用 SpringBoot

依赖

<!-- https://mvnrepository.com/artifact/org.apache.shiro/shiro-core -->
<dependency><groupId>org.apache.shiro</groupId><artifactId>shiro-core</artifactId><version>1.9.1</version><scope>test</scope>
</dependency>
<!-- https://mvnrepository.com/artifact/commons-logging/commons-logging -->
<dependency><groupId>commons-logging</groupId><artifactId>commons-logging</artifactId><version>1.2</version>
</dependency>

Shiro 获取权限相关信息可以通过数据库获取，也 可以通过 ini 配置文件获取

[users]
zhangsan=z3
lisi=l4

2.2 登录认证

2.2.1 登录认证概念

  1. 身份验证：一般需要提供如身份ID等一些标识信息来表明登录者的身份，如提供email，用户名/密码来证明

  2. 在shiro中，用户需要提供**principals（身份）和credentials（证明）**给shiro，从而应用能验证用户身份

  3. principals：身份，即主体的标识属性，可以是任何属性，如用户名、邮箱等，唯一即可。一个主体可以有多个principals，但只

    有一个Primary principals，一般是用户名/邮箱/手机号

  4. credentials：证明/凭证，即只有主体知道的安全值，如密码/数字证书等

  5. 最常见的principals和credentials组合就是用户名/密码

2.2.2 登录认证基本流程

  1. 收集用户身份/凭证，即如用户名/密码

  2. 调用 Subject.login 进行登录，如果失败将得到相应的 AuthenticationException 异常，根据异常提示用户错误信息；否则登录

    成功

  3. 创建自定义的 Realm 类，继承 org.apache.shiro.realm.AuthenticatingRealm类，实现 doGetAuthenticationInfo() 方法

image-20220928113954156

2.2.3 登录认证实例代码

void authenticationTest() {// 1. 获取 SecurityManagerIniSecurityManagerFactory factory = new IniSecurityManagerFactory("classpath:shiro.ini");SecurityManager securityManager = factory.getInstance();SecurityUtils.setSecurityManager(securityManager);// 2. 获取 Subject 对象Subject subject = SecurityUtils.getSubject();// 3. 创建 token 对象， web 应用用户名密码从页面传递AuthenticationToken token = new UsernamePasswordToken("zhangsan", "z3");try {// 4. 完成登录subject.login(token);System.out.println("登录成功");} catch (UnknownAccountException e) {e.printStackTrace();System.out.println("用户不存在");} catch (IncorrectCredentialsException e) {e.printStackTrace();System.out.println("密码错误");} catch (AuthenticationException e) {e.printStackTrace();System.out.println("登录失败");}
}

2.2.4 身份认证流程

  1. 首先调用 Subject.login(token) 进行登录，其会自动委托给 SecurityManager

image-20220928115808056

  1. SecurityManager 负责真正的身份验证逻辑；它会委托给 Authenticator 进行身份验证

image-20220928115838849

  1. Authenticator 才是真正的身份验证者，Shiro API 中核心的身份认证入口点，此处可以自定义插入自己的实现

  2. Authenticator 可能会委托给相应的 AuthenticationStrategy 进 行多 Realm 身份验证，默认 ModularRealmAuthenticator

    会调用 AuthenticationStrategy 进行多 Realm身份验证

image-20220928120037518

  1. Authenticator 会把相应的 token 传入 Realm，从 Realm 获取身份验证信息，如果没有返回/抛出异常表示身份验证失败了。此

    处可以配置多个Realm，将按照相应的顺序及策略进行访问

image-20220928120220362

image-20220928120235732

2.3 角色、授权

2.3.1 授权概念

  • 授权，也叫访问控制，即在应用中控制谁访问哪些资源（如访问页面/编辑数据/页面操作等）。在授权中需了解的几个关键对象：主

    体（Subject）、资源（Resource）、权限 （Permission）、角色（Role）

  • 主体 (Subject)：访问应用的用户，在 Shiro 中使用 Subject 代表该用户。用户只有授权后才允许访问相应的资源

  • 资源 (Resource)：在应用中用户可以访问的 URL，比如访问 JSP 页面、查看/编辑某些数据、访问某个业务方法、打印文本等等都是

    资源。用户只要授权后才能访问

  • 权限 (Permission)：安全策略中的原子授权单位，通过权限我们可以表示在应用中用户有没有操作某个资源的权力。即权限表示在

    应用中用户能不能访问某个资源，如：访问用户列表页面查看/新增/修改/删除用户数据（即很多时候都是CRUD（增查改删）式权

    限控制）等。权限代表了用户有没有操作某个资源的权利，即反映在某个资源上的操作允不允许

  • Shiro 支持粗粒度权限（如用户模块的所有权限）和细粒度权限（操作某个用户的权限， 即实例级别的）

  • 角色 (Role)：权限的集合，一般情况下会赋予用户角色而不是权限，即这样用户可以拥有一组权限，赋予权限时比较方便。典型的

    如：项目经理、技术总监、CTO、开发工程师等都是角色，不同的角色拥有一组不同的权限

2.3.2 授权方式

  • 编程式：通过写if/else 授权代码块完成

image-20220928120744631

  • 注解式：通过在执行的Java方法上放置相应的注解完成，没有权限将抛出相应的异常

image-20220928120753173

2.3.3 授权流程

  1. 首先调用Subject.isPermitted/hasRole接口，其会委托给SecurityManager，而 SecurityManager接着会委托给Authorizer

  2. Authorizer是真正的授权者，如果调用如isPermitted(“user:view”)，其首先会通过Permission Resolver把字符串转换成相

    应的Permission实例

  3. 在进行授权之前，其会调用相应的Realm获取Subject相应的角色/权限用于匹配传入的角色/权限

  4. Authorizer会判断Realm的角色/权限是否和传入的匹配，如果有多个Realm，会委托给ModularRealmAuthorizer进行循环判

    断，如果匹配如isPermitted/hasRole会返回true，否则返回false表示授权失败

image-20220928121957357

2.3.4 授权示例代码

2.3.4.1 获取角色信息

给shiro.ini增加角色配置

[users]
zhangsan=z3,role1,role2
lisi=l4

判断用户是否有指定角色

// 4. 完成登录
subject.login(token);
System.out.println("登录成功");
// 5. 判断角色
boolean result = subject.hasRole("role1");
System.out.println("是否拥有此角色：" + result);
2.3.4.2 判断权限信息信息

给shiro.ini增加权限配置

[roles]
role1=user:insert,user:select

判断用户是否有指定权限

// 6. 判断权限
boolean isPermitted = subject.isPermitted("user:insert");
System.out.println("是否拥有此权限：" + isPermitted);
// 也可以用 checkPermission 方法，但没有返回值，没权限抛 AuthenticationException
subject.checkPermission("user:select");

2.4 Shiro 加密

实际系统开发中，一些敏感信息需要进行加密，比如说用户的密码。Shiro 内嵌很多常用的加密算法，比如 MD5 加密。Shiro 可以很简

单的使用信息加密

void shiroMD5Test() {// 密码明文String password = "z3";// 使用 MD5 加密Md5Hash md5Hash = new Md5Hash(password);System.out.println("MD5 加密：" + md5Hash.toHex());// 带盐的 md5 加密，盐就是在密码明文后拼接新字符串，然后再进行加密Md5Hash md5Hash2 = new Md5Hash(password, "salt");System.out.println("MD5 带盐加密：" + md5Hash2.toHex());// 为了保证安全，避免被破解还可以多次迭代加密，保证数据安全Md5Hash md5Hash3 = new Md5Hash(password, "salt", 3);System.out.println("MD5 带盐加密3次：" + md5Hash3.toHex());// 使用父类实现加密SimpleHash simpleHash = new SimpleHash("MD5", password, "salt", 3);System.out.println("父类带盐三次加密：" + simpleHash.toHex());   // 和上者一样
}

2.5 Shiro 自定义登录认证

Shiro 默认的登录认证是不带加密的，如果想要实现加密认证需要自定义登录认证，自定义 Realm

自定义登录认证

/*** 自定义的登录认证方法， Shiro 的 subject.login 方法底层会调用该类的认证方法完成登录认证* 需要配置自定义的 realm 生效，在 ini 文件中配置，或 Springboot 中配置* 该方法只是获取进行对比的信息，认证逻辑还是按照 Shiro 的底层认证逻辑完成认证*/
protected AuthenticationInfo doGetAuthenticationInfo(AuthenticationToken authenticationToken) throws AuthenticationException {// 1. 通过 token 获取身份信息String username = authenticationToken.getPrincipal().toString();// 2. 获取认证信息String password = new String((char[]) authenticationToken.getCredentials());System.out.println("认证用户的信息：" + username + "----" + password);// 3. 获取数据库中存储的用户信息if ("zhangsan".equals(username)) {// 3.1 数据库中存储的加盐3次迭代的密码String pwdInfo = "7174f64b13022acd3c56e2781e098a5f";// 3.2 创建封装校验逻辑对象，封装数据然后返回AuthenticationInfo info = new SimpleAuthenticationInfo(authenticationToken.getPrincipal(),pwdInfo,ByteSource.Util.bytes("salt"),username);return info;}return null;
}

在shiro.ini中添加配置信息

[main]
md5CredentialsMatcher=org.apache.shiro.authc.credential.Md5CredentialsMatcher
md5CredentialsMatcher.hashIterations=3
myrealm=com.lt.shiro.MyRealm
myrealm.credentialsMatcher=$md5CredentialsMatcher
securityManager.realms=$myrealm
[users]
zhangsan=7174f64b13022acd3c56e2781e098a5f,role1,role2
lisi=l4
[roles]
role1=user:insert,user:select

http://chatgpt.dhexx.cn/article/Ur0NX3EC.shtml

相关文章

Shiro总结面试问题

Shiro总结面试问题

Shiro总结 Shiro可做哪些事&#xff1a; 认证、授权、加密、会话管理、与web集成、缓存等 最简单的Shiro应用是怎样运行的&#xff1a; 应用代码通过Subject来进行认证和授权&#xff0c;而Subject又委托给SecurityManager 我们需要给Shiro的SecurityManager注入Realm,从而让S…
阅读更多...
python中socket进行多线程,利用 Socket怎么在Python项目中实现一个多线程并发功能...

python中socket进行多线程,利用 Socket怎么在Python项目中实现一个多线程并发功能...

利用 Socket怎么在Python项目中实现一个多线程并发功能 发布时间：2020-12-11 13:55:06 来源：亿速云 阅读：95 作者：Leah 这篇文章给大家介绍利用 Socket怎么在Python项目中实现一个多线程并发功能，内容非常详细，感兴趣的小伙伴们可以参考借鉴，希望对大家能有所帮助。 1.S…
阅读更多...
Jmeter多线程并发和压测结果分析

Jmeter多线程并发和压测结果分析

一、多线程并发 1. 线程组简介： (1). 线程数： 配置虚拟用户数量 (2). Ramp-Up时间：设置的虚拟用户数需要多长时间全部启动，如果线程数为10，准备时长为2，那么需要2秒钟启动10个线程，也就是每秒钟启动5个线程。 (3). 循环次数 (4). 调度器-持续时间(秒)，压测多长时间…
阅读更多...
面试必问！多线程并发问题

面试必问！多线程并发问题

多线程并发问题&#xff0c;基本是面试必问的。 大部分同学应该都知道Synchronized&#xff0c;Lock&#xff0c;部分同学能说到volatile、并发包&#xff0c;优秀的同学则能在前面的基础上&#xff0c;说出Synchronized、volatile的原理&#xff0c;以及并发包中常用的数据结…
阅读更多...
实际场景中的多线程并发编程案例

实际场景中的多线程并发编程案例

目录 使用多线程的意义&#xff1a; CountDownLatch 案例一&#xff1a;多线程同步发起并发请求 案例二&#xff1a;rocketmq内&#xff0c;每个broker将自己注册到所有的nameserver时 案例三&#xff1a;利用异步线程实现同步请求 CompletableFuture 应用一&#xff1a…
阅读更多...
【已解决】利用 Java 多线程并发编程提高数据处理效率

【已解决】利用 Java 多线程并发编程提高数据处理效率

&#x1f389;工作场景中遇到这样一个需求&#xff1a;根据主机的 IP 地址联动更新其他模型的相关信息。需求很简单&#xff0c;只涉及一般的数据库联动查询以及更新操作&#xff0c;然而在编码实现过程中发现&#xff0c;由于主机的数量很多&#xff0c;导致循环遍历查询、更新…
阅读更多...
c++ 多线程并发

c++ 多线程并发

基于C11的线程池(threadpool),简洁且可以带任意多的参数 - _Ong - 博客园 C11多线程编程(六)——线程池的实现 1. ① thread #include <iostream> #include <thread>class A { public:void operator()() {std::cout << "11111\n";} };int main…
阅读更多...
python多线程并发请求

python多线程并发请求

再api测试时&#xff0c;避免不了高并发的测试情况。所以以下案例为线程并发请求代码&#xff0c;以请求百度为例 #!/usr/bin/env python #!coding:utf-8 from __future__ import division from threading import Thread import requests import matplotlib.pyplot as plt imp…
阅读更多...
多线程并发的一些解决思路

多线程并发的一些解决思路

一、利用不变性解决并发问题 不变性&#xff08;Immutability&#xff09;模式。所谓不变性&#xff0c;简单来讲&#xff0c;就是对象一旦被创建之后&#xff0c;状态就不再发生变化。换句话说&#xff0c;就是变量一旦被赋值&#xff0c;就不允许修改了&#xff08;没有写操…
阅读更多...
python之多线程并发

python之多线程并发

前言 今天呢笔者想和大家来聊聊python多线程的并发&#xff0c;废话就不多说了咱们直接进入主题哟。 一、线程执行 python的内置模块提供了两个内置模块&#xff1a;thread和threading&#xff0c;thread是源生模块&#xff0c;threading是扩展模块&#xff0c;在thread的基础…
阅读更多...
python多线程并发测试

python多线程并发测试

python多线程 文章目录 python多线程一、并发与并行&#xff1f;二、同步与异步的概念&#xff1f;三、线程与进程的区别&#xff1f;需求1&#xff1a;多线程执行不同任务&#xff1a;需求2&#xff1a;多线程执行相同任务&#xff1a;1.threading并发性2.多线程并发---资源共…
阅读更多...
JAVA多线程并发

JAVA多线程并发

JAVA并发知识库 JAVA线程实现/创建方式 1.继承Thread类 Thread类本质上时实现了Runnable接口的一个实例&#xff0c;代表一个现成的实例。启动线程的唯一方法就是通过Thread类的start()实例方法。start()方法是一个native方法&#xff0c;它将启动一个新线程&#xff0c;并执…
阅读更多...
多线程 与并发

多线程 与并发

官方文档 https://docs.oracle.com/javase/tutorial/essential/concurrency/index.html 推荐《Java高并发编程详解&#xff1a;多线程与架构设计》 推荐《Java高并发编程详解&#xff1a;深入理解并发核心库》 有很多工具的基准测试 同步和异步 所谓同步就是一个任务的完成需…
阅读更多...
多线程和并发问题详解

多线程和并发问题详解

文章目录 一、进程与线程二、并发与并行1、线程安全问题&#xff1a;2、共享内存不可见性问题 三、创建线程四、Thread类详解五、其他方法六、实例 一、进程与线程 进程&#xff1a;是代码在数据集合上的一次运行活动&#xff0c;是系统进行资源分配和调度的基本单位。 线程&…
阅读更多...
面试官：多线程问题你一问三不知，还要我怎么“放水”？

面试官：多线程问题你一问三不知，还要我怎么“放水”？

面试官：问你几个多线程相关的问题吧，说一下导致线程死锁的原因，怎么解除线程死锁？ 程序员阿里：这个...死锁... （一分钟后） 面试官：不知道？那好，说一下Lock 和 Synchronized 的区别？ 程序员阿里：Lock是锁... 面试官：...会就会，不会就说不会，节省一下时间，s…
阅读更多...
多线程（并发执行）

多线程（并发执行）

一、概念区分 1、并行与并发 并行 ​ 当系统有一个以上CPU时&#xff0c;同一时刻&#xff0c;当一个CPU在执行一个任务时&#xff0c;另一个CPU在执行另一个任务&#xff0c;两个任务互不抢占CPU资源&#xff0c;可以同时进行&#xff08;多核CPU&#xff0c;一个CPU执行一…
阅读更多...
2.多线程并发

2.多线程并发

1.说说你知道的创建线程的方式 1、继承Thread类&#xff0c;重写run方法。2、实现Runnable接口&#xff0c;重写run方法。3、实现Callable接口&#xff0c;重写call方法。4、通过线程池创建线程。 https://blog.csdn.net/u013541140/article/details/95225769 CachedThreadPoo…
阅读更多...
C++多线程并发（一）--- 线程创建与管理

C++多线程并发（一）--- 线程创建与管理

文章目录 前言一、何为并发1.1 并发与并行1.2 硬件并发与任务切换1.3 多线程并发与多进程并发 二、如何使用并发2.1 为什么使用并发2.2 在C中使用并发和多线程 三、C线程创建3.1 C11新标准多线程支持库3.2 线程创建的简单示例 更多文章&#xff1a; 前言 我们都听说过摩尔定律…
阅读更多...
lrzsz

lrzsz

lrzsz是一款程序&#xff0c;在linux中可以代替ftp的上传和下载 安装lrzsz yum install -y lrzsz上传&#xff1a;rz 将文件上传到本地&#xff0c;默认上传到当前目录 该程序支持拖拽上传&#xff0c;如下图所示 上传成功后查看本地 下载&#xff1a;sz filename 例如&am…
阅读更多...
linux之lrzsz

linux之lrzsz

1、lrzsz介绍 我们利用lrzsz进行windows和linux间的文件上传下载 2、安装 在ubuntu系统下 sudo apt-get install lrzsz 在centos系统下 yum install lrzsz 3、使用 1）、windows上传文件到linux环境,使用如下命令 rz
阅读更多...
推荐文章

Copyright @ 2022~2023