一、簡介

Apache Shiro 是一個強大易用的 Java 安全框架，提供了認證、授權、加密和會話管理等功能，對於任何一個應用程式，Shiro 都可以提供全面的安全管理服務。並且相對於其他安全框架，Shiro 要簡單的多。

從Shiro 內部來看下 Shiro 的架構，如下圖所示：

Subject：主體，可以看到主體可以是任何可以與應用互動的 “使用者”；

SecurityManager：相當於 SpringMVC 中的 DispatcherServlet 或者 Struts2 中的 FilterDispatcher；是 Shiro 的心臟；所有具體的互動都通過 SecurityManager 進行控制；它管理著所有 Subject、且負責進行認證和授權、及會話、快取的管理。

Authenticator：認證器，負責主體認證的，這是一個擴充套件點，如果使用者覺得 Shiro 預設的不好，可以自定義實現；其需要認證策略（Authentication Strategy），即什麼情況下算使用者認證通過了；

Authrizer：授權器，或者訪問控制器，用來決定主體是否有許可權進行相應的操作；即控制著使用者能訪問應用中的哪些功能；

Realm：可以有 1 個或多個 Realm，可以認為是安全實體資料來源，即用於獲取安全實體的；可以是 JDBC 實現，也可以是 LDAP 實現，或者記憶體實現等等；由使用者提供；注意：Shiro 不知道你的使用者 / 許可權儲存在哪及以何種格式儲存；所以我們一般在應用中都需要實現自己的 Realm；

SessionManager：如果寫過 Servlet 就應該知道 Session 的概念，Session 呢需要有人去管理它的生命週期，這個元件就是 SessionManager；而 Shiro 並不僅僅可以用在 Web 環境，也可以用在如普通的 JavaSE 環境、EJB 等環境；所有呢，Shiro 就抽象了一個自己的 Session 來管理主體與應用之間互動的資料；這樣的話，比如我們在 Web 環境用，剛開始是一臺 Web 伺服器；接著又上了臺 EJB 伺服器；這時想把兩臺伺服器的會話資料放到一個地方，這個時候就可以實現自己的分散式會話（如把資料放到 Memcached 伺服器）；

SessionDAO

CacheManager：快取控制器，來管理如使用者、角色、許可權等的快取的；因為這些資料基本上很少去改變，放到快取中後可以提高訪問的效能

Cryptography：密碼模組，Shiro 提高了一些常見的加密元件用於如密碼加密 / 解密的。

二、shiro下載

注意：不一定要下最新版的，最好是使用穩定版，根據自己的需要下載版本

第二種：用maven新增依賴來幫你自動下載jar包，這需要一點Maven的知識（eclipse下maven專案的建立
），pom.xml需要配置如下：

<dependencies>
    <!-- junit測試 -->     
    <dependency>
        <groupId>junit</groupId>
	<artifactId>junit</artifactId>
	<version>4.9</version>
    </dependency>
    <!-- 日誌(Log)介面 -->     
    <dependency>
	<groupId>commons-logging</groupId>
	<artifactId>commons-logging</artifactId>
	<version>1.1.3</version>
    </dependency>
    <!-- shiro-core的包 -->
    <dependency>
	<groupId>org.apache.shiro</groupId>
	<artifactId>shiro-core</artifactId>
	<version>1.3.2</version>
    </dependency>
</dependencies>

三、開始書寫簡單的登入和登出

1.配置一個簡單的使用者身份 / 憑據（shiro.ini）：

[users]
zhangsan=123
wang=123

2.編寫測試用例，具體程式碼如下：

@Test
public void shiro() {
    // 1.建立SecurityManager工廠物件，從shiro.ini中讀取賬號和密碼
    Factory<SecurityManager> factory = new IniSecurityManagerFactory("classpath:shiro.ini");
    // 2.建立SecurityManager例項物件
    SecurityManager security = factory.getInstance();
    // 3.將SecurityManager繫結到當前的執行環境中
    SecurityUtils.setSecurityManager(security);
    // 4.建立主體Subject
    Subject subject = SecurityUtils.getSubject();
    // 5.建立登入的令牌
    UsernamePasswordToken token = new UsernamePasswordToken("zhangsan", "123");
    try {
	// 6.主體登入
	subject.login(token);
    } catch (Exception e) {
	System.out.println("認證不通過，"+e);
    }
    //判斷是否已經驗證通過
    System.out.println("使用者是否登入："+subject.isAuthenticated());
    Assert.assertEquals(true, subject.isAuthenticated());
    // 7.主體登出
    subject.logout();
    System.out.println("使用者是否登入："+subject.isAuthenticated());
}

1. 收集使用者身份 / 憑證，即如使用者名稱 / 密碼；

2. 呼叫 Subject.login 進行登入，如果失敗將得到相應的 AuthenticationException 異常，根據異常提示使用者錯誤資訊；否則登入成功；

3. 最後呼叫 Subject.logout 進行退出操作。