对Shiro框架的简单介绍

权限认证框架

当下最常用的几款登录和鉴权框架有：

• spring-security(这不是本文重点，略)
  • 基于Spring开发，和Spring契合度高
  • 功能多
  • 社区资源丰富
  • 使用起来比较复杂
• apache-shiro
  • 不依赖于Spring
  • 简单易上手
  • 功能和社区资源比SpringSecurity稍弱
• oauth2.0(推荐http://www.ruanyifeng.com/blog/2019/04/oauth_design.html了解)
  • 非常流行的授权机制
  • 用来授权第三方应用，获取用户数据。

shiro框架

• Shiro是Apache下的一个开源项目，属于轻量级框架。
基本功能点如下图所示：

Subject：主体，简单理解为用户。

SecurityManager：相当于 SpringMVC 中的 DispatcherServlet是 Shiro 的心脏；所有具体的交互都通过 SecurityManager 进行控制；它管理着所有 Subject、且负责进行认证和授权、及会话、缓存的管理。

Authenticator：认证器，负责主体认证的，可以自定义实现，也可以使用shiro提供的默认实现；认证策略需要提供，即什么情况下用户可以认证通过。

Authrizer：授权器，用来决定主体是否有权限进行相应的操作；即控制着用户拥有哪些功能。

Realm：可以认为是安全实体数据源，即用于获取安全实体的；由用户提供；注意：Shiro 不知道你的用户 / 权限存储在哪及以何种格式存储；所以Realm需要自己写。

SessionManager：Shiro 抽象了一个自己的 Session 来管理主体与应用之间交互的数据。

SessionDAO：SessionDAO用于会话的 CRUD；另外 SessionDAO 中可以使用 Cache 进行缓存，以提高性能。

CacheManager：缓存控制器，来管理如用户、角色、权限等的缓存的；因为这些数据基本上很少去改变，放到缓存中后可以提高访问的性能

Cryptography：密码模块，Shiro 提供了一些常见的加密组件用于如密码加密 / 解密。

Web Support：Web支持，集成Web环境。

Concurrency：多线程并发验证，在一个线程中开启另一个线程，可以把权限自动传播过去。

Testing：测试支持；

Run As：允许一个用户假装为另一个用户（如果他们允许）的身份进行访问。

Remember Me：记住我，登录后，下次再来的话不用登录了。