什么是Shiro

Apache Shiro是一个强大且灵活的开源安全框架，易于使用且好理解，撇开了搭建安全框架时的复杂性。

Shiro可以帮助我们做以下几件事：

• 认证使用者的身份
• 提供用户的访问控制，比如：
  • 决定一个用户是否被授予某个特定的安全角色
  • 决定用户是否允许做某件事
• 可以在任何环境中使用Session API，不在局限于web或是EJB容器中
• 可以在认证，访问控制或是session的生命周期的期间中对特定事件产生反应
• 可以整合多个数据源的用户安全数据到一个统一的用户视图中
• 支持单点登录
• 支持'记住我'功能
  等等

Apache Shiro的特征

下图展示了Shiro主要的特征：

Primary Cocnerns（基本关注点）:Authentication（认证），Authorization（授权），Session Management（会话管理），Cryptography（加密）。

• Authentication（认证）：经常和登录挂钩，是证明用户说他们是谁的一个工作
• Authorization（授权）：访问控制的过程，即，决定‘谁’可以访问‘什么
• Session Management（会话管理）：管理用户特定的会话，即使在非web或是EJB的应用中
• Crytography（加密）：通过加密算法保证数据的安全，且易于使用

Supporting Features（辅助特性）:

• Web Support（网络支持）:web support API可以帮助在web应用中方便的使用shiro
• Caching（缓存）:保证安全操作使用快速有效
• Concurrency（并发）:支持多线程应用
• Testing（测试）：支持集成单元测试
• “Run As”（以..运行）：可以假定用户为另一个用户
• “Remeber Me”:记住用户，无需再次登录

Authentication和Authenticator的主要流程

• Authentication（认证）：
  与认证流程相关的Shiro各对象关系如下：
  

以更加清晰的流程图对应上述的步骤：

• Authenticator（授权）： 与授权相关的Shiro个对象关系如下：
  

换成流程图对应上述的步骤：