Shiro会话管理和加密

最新推荐文章于 2025-06-12 22:47:31 发布

原创最新推荐文章于 2025-06-12 22:47:31 发布

· 314 阅读

9 ·

版权

文章标签：

#java

一、Shiro简介

Apache Shiro是一个强大且易于使用的Java安全框架，提供了认证、授权、加密和会话管理等多种安全功能。Shiro框架的核心组件之一是会话管理，同时它也提供了多种加密方式和工具，帮助开发者实现数据的加密和解密。

二、Shiro会话管理

会话管理是指对用户登录会话的信息管理，通常涉及用户从登录系统到注销系统之间所经过的时间内的信息管理过程。Shiro提供了完整的企业级会话管理功能，不依赖于底层容器（如Tomcat），在JavaSE和JavaEE环境中都可以使用。Shiro的会话管理功能包括会话创建、会话事件监听、会话存储/持久化、容器无关的集群支持、会话失效/过期支持以及对Web的透明支持等。

会话管理的主要组件
- 会话管理器（SessionManager）：是会话管理的核心组件，管理着所有Subject的会话。Shiro提供了多种会话管理器实现，以适应不同的应用场景。
- 会话监听器（SessionListener）：Shiro提供了SessionListener接口，用于监听会话的创建、过期和销毁事件。开发者可以实现该接口或继承SessionListenerAdapter类，重写指定方法来自定义会话监听逻辑。
- 会话DAO（SessionDAO）：Shiro提供了SessionDAO接口，用于会话的CRUD操作。开发者可以实现该接口，自定义会话的存储和持久化逻辑。Shiro还提供了多种SessionDAO实现，如MemorySessionDAO、CachingSessionDAO等，以满足不同的需求。
会话管理的基本流程
- 会话创建：通过Subject.getSession()方法，可以获取当前会话，如果当前没有创建会话对象，则会创建一个新的会话。
- 会话操作：Session对象提供了丰富的API来操作会话，如设置会话ID、设置/获取/删除会话属性等。
- 会话验证：Shiro提供了会话验证调度器（SessionValidationScheduler），用于定期验证会话是否已过期。如果会话过期，将停止会话。Shiro默认提供了基于线程池的ExecutorServiceSessionValidationScheduler和基于Quartz的QuartzSessionValidationScheduler两种实现。

三、Shiro加密功能

加密是保护数据安全的重要手段。Shiro提供了多种加密方式和工具，帮助开发者实现数据的加密和解密。

加密分类
- 对称加密：在对称加密算法中，加密和解密使用的是同一把钥匙。优点是算法简单、加密解密容易、效率高、执行快，但缺点是相对来说不算特别安全，只有一把钥匙，密文如果被拦截且密钥也被劫持，信息很容易被破译。
- 非对称加密：非对称加密使用不同的密钥进行加密和解密，包括公钥和私钥。优点是安全，即使密文被拦截、公钥被获取，也无法破译密文，因为无法获取到私钥。但缺点是加密算法复杂，安全性依赖算法与密钥，且加密和解密效率很低。
Shiro加密的主要工具
- HashedCredentialsMatcher：Shiro提供的一个用于密码加密和验证的工具。它支持多种哈希算法（如MD5、SHA-256等）和哈希迭代次数，以提高密码的安全性。
- 盐值：为了提高密码的安全性，Shiro支持使用盐值进行加密。盐值是一个随机生成的字符串，与密码一起进行哈希运算，使得即使两个用户设置了相同的密码，生成的哈希值也是不同的。
加密的基本流程
- 密码加密：在注册用户时，对用户提交的密码进行加密，并将加密后的密文和盐存储在数据库中。
- 密码验证：在登录认证身份时，将登录用的密码加入相同的盐和进行相同次数的迭代，然后与数据库中的密文进行比对。Shiro提供了HashedCredentialsMatcher类来实现密码的比对功能。

四、Shiro会话管理与加密实践

配置Shiro会话管理
- 在Shiro配置类中，可以配置会话管理器、会话监听器、会话存储等参数。
- 例如，在Spring Boot环境中，可以通过Java配置类来配置Shiro的会话管理。
配置密码加密验证器
- 在配置Realm时，可以定义一个HashedCredentialsMatcher属性，用于密码的加密和验证。
- 设置哈希算法和哈希迭代次数，以提高密码的安全性。
自定义Realm
- 在自定义Realm中，可以实现doGetAuthenticationInfo方法，用于获取用户的认证信息，包括密码和盐值等。