Shiro 概述

简介

Apache Shiro是一个功能强大且灵活的开源安全框架,它可以处理身份验证、授权、企业会话管理和加密。

架构

基础架构

在最高的概念层次上,Shiro的架构有三个主要概念:主题、安全管理器和领域。

应用代码通过 Subject 来进行认证和授权,而 Subject 又委托给 SecurityManager;我们需要给 Shiro 的 SecurityManager 注入 Realm,从而让 SecurityManager 能得到合法 的用户及其权限进行判断。

详细架构

  • Subject:主体,可以看到主体可以是任何可以与应用交互的 “用户”。
  • SecurityManager:相当于 SpringMVC 中的 DispatcherServlet 或者 Struts2 中的 FilterDispatcher;是 Shiro 的心脏;所有具体的交互都通过 SecurityManager 进行控制;它管理着所有 Subject、且负责进行认证和授权、及会话、缓存的管理。
  • 认证器,负责主体认证的,这是一个扩展点,如果用户觉得 Shiro 默认的不好,可以自定义实现;其需要认证策略(Authentication Strategy),即什么情况下算用户认证通过了;
  • Authorizer:授权器,或者访问控制器,用来决定主体是否有权限进行相应的操作;即控制着用户能访问应用中的哪些功能;
  • SessionManager:如果写过 Servlet 就应该知道 Session 的概念,Session 呢需要有人去管理它的生命周期,这个组件就是 SessionManager;而 Shiro 并不仅仅可以用在 Web 环境,也可以用在如普通的 JavaSE 环境、EJB 等环境;所有呢,Shiro 就抽象了一个自己的 Session 来管理主体与应用之间交互的数据。
  • CacheManager:缓存控制器,来管理如用户、角色、权限等的缓存的;因为这些数据基本上很少去改变,放到缓存中后可以提高访问的性能
  • Cryptography:密码模块,Shiro 提高了一些常见的加密组件用于如密码加密 / 解密的。
  • Realm:可以有 1 个或多个 Realm,可以认为是安全实体数据源,即用于获取安全实体的;可以是 JDBC 实现,也可以是 LDAP 实现,或者内存实现等等;由用户提供;注意:Shiro 不知道你的用户 / 权限存储在哪及以何种格式存储;所以我们一般在应用中都需要实现自己的 Realm。
  • SessionDAO:DAO 大家都用过,数据访问对象,用于会话的 CRUD,比如我们想把 Session 保存到数据库,那么可以实现自己的 SessionDAO,通过如 JDBC 写到数据库;比如想把 Session 放到 Memcached 中,可以实现自己的 Memcached SessionDAO;另外 SessionDAO 中可以使用 Cache 进行缓存,以提高性能;

核心类

  • SecurityManager:安全管理器,Shiro最核心组件。Shiro通过SecurityManager来管理内部组件实例,并通过它来提供安全管理的各种服务。
  • Authenticator:认证器,认证AuthenticationToken是否有效。
  • Authorizer:授权器,处理角色和权限。
  • SessionManager:Session管理器,管理Session。
  • Subject:当前操作主体,表示当前操作用户。
  • SubjectContext:Subject上下文数据对象。
  • AuthenticationToken:认证的token信息(用户名、密码等)。
  • ThreadContext:线程上下文对象,负责绑定对象到当前线程。

本文分享自微信公众号 - 分母为零(gmg1014),作者:gmg

原文出处及转载信息见文内详细说明,如有侵权,请联系 yunjia_community@tencent.com 删除。

原始发表时间:2020-05-05

本文参与腾讯云自媒体分享计划,欢迎正在阅读的你也加入,一起分享。

我来说两句

0 条评论
登录 后参与评论

相关文章

  • Dubbo 概述

    Dubbo 是一款高性能、轻量级的开源Java RPC框架,它提供了三大核心能力:面向接口的远程方法调用,智能容错和负载均衡,以及服务自动注册和发现。

    分母为零
  • Springboot集成logback将错误日志同步到数据库

    在scrip下找到自己数据库所需的sql文件即可,连接为:https://github.com/qos-ch/logback/blob/master/logba...

    分母为零
  • Neo4j之安装

    下载地址:https://neo4j.com/download-center/#releases

    分母为零
  • 动态 | Facebook 开源首个全卷积语音识别工具包 wav2letter++

    AI 科技评论按:近日,Facebook 人工智能研究院 ( FAIR ) 宣布开源首个全卷积语音识别工具包 wav2letter++。系统基于全卷积方法进行语...

    AI科技评论
  • 韩国小哥哥用Pytorch实现谷歌最强NLP预训练模型BERT | 代码

    不仅在SQuAD中摧枯拉朽,全面超越人类表现,还在多种不同NLP测试中创出最佳成绩,包括包括将GLUE基准提升7.6%,将MultiNLI的准确率提提升5.6%...

    量子位
  • 云架构视频会议系统EasyRTC企业远程会议MCU版与SFU版在行业应用场景上有什么区别?

    了解TSINGSEE青犀视频产品的小伙伴都知道,目前在视频会议系统相关产品上,我们已有两款,一款是基于MCU架构的EasyRTC-MCU版,一个是基于SFU架构...

    EasyNVR
  • 使用IDR软件处理生物学重复样本的peak calling

    对于chip_seq, atac_seq等实验而言,生物学重复样本的peak calling结果很难完全一致。对于多个生物学重复样本的peak calling结...

    生信修炼手册
  • 谷歌要给人工智能创业者提供6个月的培训,还白送5万美元

    陈桦 编译自 VentureBeat 量子位 报道 | 公众号 QbitAI ? 谷歌今天公布了名为Developers Launchpad Studio、为期...

    量子位
  • HTTP协议无状态,到底要怎么理解?【前端】

    这次你学聪明了,售货员给你写了个纸条,上面有超市的章印,下次你带着纸条来,买上了超市给你准备的面粉

    sinnoo
  • 余承东:智能手机市场份额超15%才赚钱,华为迟早是老大 | 热点

    镁客网

扫码关注云+社区

领取腾讯云代金券