第一次用了Web认证框架Shiro！-shiro框架

开始的话

记得做的第一个Web项目，系统认证授权这块就是基于Shiro实现的，当时也是第一次接触到这种类型的框架，同时是基于Spring做的集成，并且相关的配置都已经是定制好的，只需要我们根据项目情况对极少部分配置进行修改即可使用。对于其原理也只是知道个大概，具体实现细节可以说是一无所知。

Shiro作为安全框架，相比其他同类型框架，在整体结构上更显得简单且更易于理解，通过对Shrio的学习，在理解里其实现原理后，对后面学习其他同类型的框架也会有很多帮助。

现在各种框架盛行，为解决企业问题提供了各种优秀的解决方案，使开发者可以快速、简单、高效地搭建开发环境，用起来确实很方便，但是却产生了强烈的依赖性，现在有多少人脱离了框架还能开发出想要的功能？当然，框架我们还是要用的，但是随着学习的不断加深，在出现故障时我们及时定位问题，在当前业务需求不满足时，我们需要快速找到解决方法。

功能介绍

以下是官网的一段话，直接介绍了Shiro能为我们做什么

Apache Shiro是一个功能强大且易于使用的Java安全框架，可执行身份验证、授权、加密和会话管理。

特色

主要功能：

Authentication：身份认证，证明用户是否具有访问系统的身份。
Authorization：访问控制，即确定“谁”可以访问系统的“什么”资源。
Session Management：会话管理，支持Web 或 EJB 应用程序的会话管理。
Cryptography：使用密码算法保持数据安全，主要是密码。其他功能：

Web Support:：Shiro 的 Web 支持 API 有助于轻松保护 Web 应用程序。

Caching：缓存，确保 Apache Shiro API能够快速和高效地操作。

Concurrency：Apache Shiro 支持多线程应用程序的并发特性。

Testing：存在测试支持以帮助您编写单元和集成测试，并确保您的代码按预期执行。

Run As：允许用户假设为另一个用户的身份的获取其功能权限，在管理场景中很有用。

Remember Me：跨会话记住用户的身份，在登录时指明，省去下次登录的过程。

实现架构

架构

Subject( org.apache.shiro.subject.Subject) 当前与软件交互的实体（用户、第三方服务、cron任务等）的特定的安全性的“视图”。
SecurityManager ( org.apache.shiro.mgt.SecurityManager ) SecurityManager是Shiro架构的核心。它主要是一个综合的大对象，用于协调其托管组件以确保它们顺利协同工作。它还管理Shiro对每个应用程序用户的视图，因此它知道如何为每个用户执行安全操作。
Authenticator ( org.apache.shiro.authc.Authenticator ) 该Authenticator组件负责执行和响应用户的身份验证过程。当用户尝试登录时，该逻辑由Authenticator实现并执行。Authenticator通过用户配置的多个Realms，按照一定的策略，验证提供的用户是否满足用户身份。

AuthenticationStrategy ( org.apache.shiro.authc.pam.AuthenticationStrategy ) 当配置了多个Realm时，AuthenticationStrategy将协调调用Realm来确定用户身份验证最终成功或失败（比如有一个验证成功或每个都要验证成功）。

Authorizer ( org.apache.shiro.authz.Authorizer ) 是一个应用访问控制的组件。它是决定用户是否被允许执行某项操作。与Authenticator一样，Authorizer能够协调执行多个Realm来获取用户的访问角色和权限信息。
SessionManager ( org.apache.shiro.session.mgt.SessionManager ) 负责创建和管理用户Session的生命周期。即使没有可用的Web容器，Shiro能够在任何环境中本地管理用户会话。默认情况下是基于Web容器实现会话机制，非Web环境则可以通过内置的会话管理来提供相同的功能。可以通过SessionDAO实现会话的持久化。

SessionDAO ( org.apache.shiro.session.mgt.eis.SessionDAO ) 实现Session的持久化。

CacheManager ( org.apache.shiro.cache.CacheManager ) 因为Shiro经常访问后端数据源进行身份验证、授权和会话管理，通过缓存可以提高性能。
Cryptography( org.apache.shiro.crypto.* ) 密码学是企业安全框架的扩展。Shiro的crypto包含易于使用和理解的密码、哈希（又名摘要）和不同编解码器实现的实现。Shiro的加密API简化了复杂的Java机制，使密码加密更容易。
Realm ( org.apache.shiro.realm.Realm ) Realm是Shiro和应用程序安全数据之间的“桥梁”。当用户需要对身份进行认证或授权时，Shiro会通过程序中配置的一个或多个Realm来查找满足的数据。Shiro将根据需要与它们协调以进行身份验证和授权。

关键模块

EnvironmentLoaderListener

该类实现了ServletContextListener，因此我们在web.xml中配置<listeners>后即可启用，主要目的是为了构建Enviroment对象并保存到ServleteContext中。

public class EnvironmentLoaderListener extends EnvironmentLoader implements ServletContextListener {

    public void contextInitialized(ServletContextEvent sce) {
        initEnvironment(sce.getServletContext());
    }

    public void contextDestroyed(ServletContextEvent sce) {
        destroyEnvironment(sce.getServletContext());
    }
}

Environment

Environment是一个Shiro容器，主要目的是提供SecurityManager对象。

SecurityManager

public interface Environment {

    SecurityManager getSecurityManager();
}

SecurityManager是Shiro框架中最核心的类，用户的认证、鉴权都是基于它来完成的，包含认证、会话管理、RememberMe等功能，这也是开发者需要理解并配置较多的类。

public interface SecurityManager extends Authenticator, Authorizer, SessionManager {

    Subject login(Subject subject, AuthenticationToken authenticationToken) throws AuthenticationException;

    void logout(Subject subject);

    Subject createSubject(SubjectContext context);

}

Authenticator

实现了用户的身份认证逻辑，也就是密码校验，注意我们是通过对AuthenticationToken进行认证，在该Token中封装了用户提交的信息，

开发者只需要根据这些信息构建AuthenticationInfo对象，密码的校验过程是有Shiro代理完成的。

public interface Authenticator {

    public AuthenticationInfo authenticate(AuthenticationToken authenticationToken)
            throws AuthenticationException;
}

Authorizer

实现了用户权限的鉴权，包括权限和角色，鉴权过程在整个系统的生命周期中是比较频繁的，我们应该配置CacheManager来提高系统效率，避免频繁的进行DAO操作。

public interface Authorizer {

    boolean isPermitted(PrincipalCollection principals, String permission);

    boolean isPermittedAll(PrincipalCollection subjectPrincipal, String... permissions);

    void checkPermission(PrincipalCollection subjectPrincipal, String permission) throws AuthorizationException;

    boolean hasRole(PrincipalCollection subjectPrincipal, String roleIdentifier);

    boolean hasAllRoles(PrincipalCollection subjectPrincipal, Collection<String> roleIdentifiers);

    void checkRole(PrincipalCollection subjectPrincipal, String roleIdentifier) throws AuthorizationException;
 
 // ...
    
}

SessionManager

会话管理主要是为了实现认证保持，即一次认证成功后基于Cookie/Session机制，使下次会话不需要重复认证。在集群环境中，如果通过容器来管理会话那样就没办法实现会话共享，我们可以通过一些分布式会话管理框架来实现。

public interface SessionManager {

    Session start(SessionContext context);

    Session getSession(SessionKey key) throws SessionException;
}

SubjectDAO实现Subject对象的保存，比如将Subject保存的Session或者到数据库。一般情况下，我们通过 SecurityUtils.getSubject()获取Subject对象，这里没有提供get方法。

public interface SubjectDAO {

    Subject save(Subject subject);

    void delete(Subject subject);
}

RememberMeManager

记住我，实现用户在会话超时后，不需要重新登录即可进入系统，默认是基于Cookie实现，主要将用户信息写入到Cookie中，并设置一个有效期，比如14天。

public interface RememberMeManager {

    PrincipalCollection getRememberedPrincipals(SubjectContext subjectContext);

    void forgetIdentity(SubjectContext subjectContext);

    void onSuccessfulLogin(Subject subject, AuthenticationToken token, AuthenticationInfo info);

    void onFailedLogin(Subject subject, AuthenticationToken token, AuthenticationException ae);

    void onLogout(Subject subject);
}

CacheManager

缓存，上面说到在鉴权时通过缓存提高API效率，还可以缓存Session实现Session快速存取。

public interface CacheManager {
    <K, V> Cache<K, V> getCache(String var1) throws CacheException;
}

Realm

Realm是开发者经常需要重写的，也是Shiro的扩展点，我们可以根据需要配置多个Realm，这样可以实现多因子认证，比如用户名、邮箱、指纹等。一般可以通过继承AuthenticatingRealm重写抽象方法实现。

public interface Realm {

    String getName();

    boolean supports(AuthenticationToken token);

    AuthenticationInfo getAuthenticationInfo(AuthenticationToken token) throws AuthenticationException;

}

Subject

Subject也是Shiro中非常重要的对象，在系统中，我们的操作基本都是调用其内部方法，最终由SecurityManager代理完成。比如常见的登录、登出、是否有角色、是否有权限等。

public interface Subject {

 Object getPrincipal();
 
 PrincipalCollection getPrincipals();
 
 void login(AuthenticationToken token) throws AuthenticationException;

   // ...
}

AuthenticationToken

用户提交的请求数据我们一般会进行封装，因为除了用户名密码，可能还会有一些其他信息，比如动态码、RememberMe标识，或者基于令牌的认证。

public interface AuthenticationToken extends Serializable {

    Object getPrincipal();

    Object getCredentials();

}

SubjectContext

Subject上下文，保存了Subject相关的数据，比如Subject、SecurityManager、Session等，在Subject间相互隔离。

public interface SubjectContext extends Map<String, Object> {

    Subject getSubject();

    PrincipalCollection getPrincipals();

    PrincipalCollection resolvePrincipals();

    Session getSession();

    Session resolveSession();

    boolean isAuthenticated();

    boolean isSessionCreationEnabled();

    boolean resolveAuthenticated();

    AuthenticationInfo getAuthenticationInfo();

    AuthenticationToken getAuthenticationToken();

}

ShiroFilter

Shiro过滤器链，前面一直提到基于Web的认证基本都是通过Filter实现，在一个Web项目中会有很多个Filter，而且会按照配置顺序执行，隐藏Shiro的过滤器会定义成链的模式，同时也是为了方便配置。开发者会根据业务需求配置过滤规则，最终都会由FilterChainResolver解析成过滤器链。

public class ShiroFilter extends AbstractShiroFilter {

    @Override
    public void init() throws Exception {
        WebEnvironment env = WebUtils.getRequiredWebEnvironment(getServletContext());

        setSecurityManager(env.getWebSecurityManager());

        FilterChainResolver resolver = env.getFilterChainResolver();
        if (resolver != null) {
            setFilterChainResolver(resolver);
        }
    }
}

Filter

在DefaultFilter中，我们可以看到这样的定义，主要是为过滤器提供了别名方便开发者进行配置。

anon(AnonymousFilter.class),
    authc(FormAuthenticationFilter.class),
    authcBasic(BasicHttpAuthenticationFilter.class),
    authcBearer(BearerHttpAuthenticationFilter.class),
    logout(LogoutFilter.class),
    noSessionCreation(NoSessionCreationFilter.class),
    perms(PermissionsAuthorizationFilter.class),
    port(PortFilter.class),
    rest(HttpMethodPermissionFilter.class),
    roles(RolesAuthorizationFilter.class),
    ssl(SslFilter.class),
    user(UserFilter.class),
    invalidRequest(InvalidRequestFilter.class);

一般配置如下：

/login.html = anon;        //表示不需认证也可访问 
/login.html = authc;       //表示表单POST提交到/login.html请求时会根据提交的参数进行身份认证
/system     = authcBasic;  //根据请求头Authorization:BASIC Base64(用户名:密码)的形式完成认证
/system     = authcBearer; //根据请求头Authorization:Bearer Token的形式完成认证 
/logout     = logout;      //退出登录 
/authz      = perms[update,:add,:delete:]; //表示具有操作权限可访问，支持''通配符 
/index.html = port[8080];  //表示8080请求端口才能访问 

//权限字符串由 type:action:instance 组成，在rest服务中，通过权限与请求方法构建权限字符串[perm:mapping]，
请求方法与action对应关系如下：
// GET|HEAD|OPTIONS|TRACE  -> read 
// PUT                     -> update
// POST|MKCOL              -> create 
/           = rest

认证流程

第1步：应用程序代码调用该Subject.login方法，传入代表最终用户的主体和凭据的构造AuthenticationToken实例。

第2步：Subject实例，通常是一个类通过调用DelegatingSubject委托给应用程序，实际的身份验证工作从这里开始。SecurityManagersecurityManager.login(token)

第3步：SecurityManager作为基本的综合组件，接收令牌并通过调用简单地委托给其内部Authenticator实例authenticator.authenticate(token)。一般是ModularRealmAuthenticator实例，它支持在身份验证期间协调一个或多个Realm实例。ModularRealmAuthenticator本质上为 Apache Shiro提供了PAM样式的范例（其中每个Realm 都是 PAM 术语中的“模块”）。

第4步：如果Realm为应用程序配置了多个，ModularRealmAuthenticator实例将Realm使用其配置的启动多重身份验证尝试策略AuthenticationStrategy。Realms在调用进行身份验证之前、期间和之后，AuthenticationStrategy将根据每个Realm的执行结果做出最终认证的决定。

第5步：根据每一个配置Realm，判断supports是否提交AuthenticationToken。如果匹配则以token为参数调用Realm的getAuthenticationInfo方法。该方法代表了Realm的一次身份验证尝试。

结束语

关于shiro，很多都是介绍框架关键组件，比如SecurityManager，大部分功能都是围绕该类展开，后面会通过实战，一步一步了解以上提到的各个模块在项目运行期间如何实现最终的用户身份认证以及对应的访问权限控制，以及细化到其具体的实现流程与模块间的时序调用关系。

参考

https://shiro.apache.org/introduction.html
https://www.infoq.com/articles/apache-shiro/

第一次用了Web认证框架Shiro！

开始的话

功能介绍

实现架构

相关术语

关键模块

认证流程

结束语

参考