Shiro认证流程和授权流程

最新推荐文章于 2025-07-10 20:34:18 发布

IsWuqiongqiong

最新推荐文章于 2025-07-10 20:34:18 发布

阅读量1w

点赞数 3

CC 4.0 BY-SA版权

分类专栏： Shiro 文章标签： shiro

本文链接：https://blog.youkuaiyun.com/Emma_Joans/article/details/78212542

本文详细介绍了Apache Shiro的身份验证和授权流程。在认证过程中，Shiro通过Subject.login()方法，委托Security Manager、Authenticator和Realm完成用户身份验证。在授权阶段，Subject的isPermitted*/hasRole*接口会借助Security Manager、Authorizer和Realm进行资源访问控制。Shiro支持粗粒度和细粒度权限，并允许自定义 Realm 和 Permission 解析器以适应不同的权限策略。

摘要生成于 C知道，由 DeepSeek-R1 满血版支持，前往体验 >

认证：

身份验证，即在应用中谁能证明他就是他本人。一般提供如他们的身份ID一些标识信息来表明他就是他本人，如提供身份证，用户名/密码来证明。
在shiro中，用户需要提供principals （身份）和credentials（证明）给shiro，从而应用能验证用户身份：
principals：身份，即主体的标识属性，可以是任何东西，如用户名、邮箱等，唯一即可。一个主体可以有多个principals，但只有一个Primary principals，一般是用户名/密码/手机号。
credentials：证明/凭证，即只有主体知道的安全值，如密码/数字证书等。
最常见的principals和credentials组合就是用户名/密码了。接下来先进行一个基本的身份认证。

另外两个相关的概念是之前提到的Subject及Realm，分别是主体及验证主体的数据源。

Shiro认证流程

这里写图片描述
1、首先调用Subject.login(token)进行登录，其会自动委托给Security Manager，调用之前必须通过SecurityUtils. setSecurityManager()设置；
2、SecurityManager负责真正的身份验证逻辑；它会委托给Authenticator进行身份验证；
3、Authenticator才是真正的身份验证者，Shiro API中核心的身份认证入口点，此处可以自定义插入自己的实现；
4、Authenticator可能会委托给相应的Authenticatio