Apache Shiro框架入门与搭建指南-优快云博客

本文链接：https://blog.youkuaiyun.com/weixin_42903912/article/details/103617938

Apache Shiro是一个简洁易用的安全框架，用于身份认证、授权、加密和会话管理。本文介绍了Shiro的基本概念，包括认证和授权，并详细阐述了如何在Java项目中集成Shiro，包括Maven添加Shiro依赖，配置web.xml和创建shiro.ini文件。

摘要生成于 C知道，由 DeepSeek-R1 满血版支持，前往体验 >

Shiro

1. 概述

Apache Shiro是Java的一个安全框架。目前，使用Apache Shiro的人越来越多，Shiro可以非常容易的开发出足够好的应用，其不仅可以用在JavaSE环境，也可以用在JavaEE环境。Shiro可以帮助我们完成：认证(登录验证)、授权(控制权限)、加密、会话管理、与Web集成、缓存等。这不就是我们想要的嘛，而且Shiro的API也是非常简单.

Authentication：身份认证/登录，验证用户是不是拥有相应的身份；

Authorization：授权，即权限验证，验证某个已认证的用户是否拥有某个权限；即判断用户是否能做事情，常见的如：验证某个用户是否拥有某个角色。

Session Manager：会话管理，即用户登录后就是一次会话，在没有退出之前，它的所有信息都在会话中；会话可以是普通JavaSE环境的，也可以是如Web环境的；

Cryptography：加密，保护数据的安全性，如密码加密存储到数据库，而不是明文存储；

Web Support：Web支持，可以非常容易的集成到Web环境；

Caching：缓存，比如用户登录后，其用户信息、拥有的角色/权限不必每次去查，这样可以提高效率；

注意:Shiro不会去维护用户、维护权限；这些需要我们自己去设计/提供；然后通过相应的接口注入给Shiro即可。

2.运行原理

在这里插入图片描述

1) Subject：主体，代表了当前“用户”。这个用户不一定是一个具体的人，与当前应用交互的任何东西都是 Subject，如网络爬虫，机器人等。所有 Subject 都绑定到 SecurityManager，与 Subject 的所有交互都会委托给 SecurityManager。我们可以把 Subject 认为是一个门面，SecurityManager 才是实际的执行者。

2) SecurityManager：安全管理器。即所有与安全有关的操作都会与 SecurityManager 交互，且它管理着所有 Subject。可以看出它是 Shiro 的核心，它负责与后边介绍的其他组件进行交互。

3) Realm：域。Shiro 从 Realm 获取安全数据（如用户、角色、权限），就是说 SecurityManager 要验证用户身份，那么它需要从 Realm 获取相应的用户进行比较以确定用户身份是否合法(需要连接访问数据库)，也需要从 Realm 得到用户相应的角色/权限进行验证用户是否能进行操作。我们可以把 Realm 看成 DataSource，即安全数据源。

3.搭建shiro

3.1Maven集成shirojar包

<!-- shiro-web -->
<dependency>
  <groupId>org.apache.shiro</groupId>
  <artifactId>shiro-web</artifactId>
  <version>1.3.2</version>
</dependency>
<!-- commons-logging -->
<dependency>
  <groupId>commons-logging</groupId>
  <artifactId>commons-logging</artifactId>
  <version>1.2</version>
</dependency>
<!-- log4j -->
<dependency>
   <groupId>log4j</groupId>
   <artifactId>log4j</artifactId>
   <version>1.2.17</version>
</dependency>

3.2配置web.xml

<!-- 配置shiro的监听器 -->
<listener>
    <listener-class>org.apache.shiro.web.env.EnvironmentLoaderListener</listener-class>
</listener>
<!-- 配置shiro的过滤器 -->
<filter>
    <filter-name>shiroFilter</filter-name>
    <filter-class>org.apache.shiro.web.servlet.ShiroFilter</filter-class>
</filter>
<!-- 配置shiro过滤器的作用范围 -->
<filter-mapping>
   <filter-name>shiroFilter</filter-name>
   <url-pattern>/*</url-pattern>
</filter-mapping>

3.3配置定义shiro.ini文件

在WEB-INF目录下创建shiro.ini文件,配置shiro

[main]
loginRealm=com.ff.shiroDemo.util.LoginRealm  登录处理realm
securityManager.realms=$loginRealm
authc.loginUrl = /login.jsp 未登录跳转到指定页面
[urls]
/login.jsp = anon  不需要登录即可匿名访问
/demo.jsp = anon
/back/** = authc  需要登录才可以访问的