两个基本的概念
安全实体：系统需要保护的具体对象数据
权限：系统相关的功能操作，例如基本的CRUD
Shiro
首先Shiro较之 Spring Security，Shiro在保持强大功能的同时，还在简单性和灵活性方面拥有巨大优势。
Shiro是一个强大而灵活的开源安全框架，能够非常清晰的处理认证、授权、管理会话以及密码加密。如下是它所具有的特点：
- 易于理解的 Java Security API；
- 简单的身份认证（登录），支持多种数据源（LDAP，JDBC，Kerberos，ActiveDirectory 等）；
- 对角色的简单的签权（访问控制），支持细粒度的签权；
- 支持一级缓存，以提升应用程序的性能；
- 内置的基于 POJO 企业会话管理，适用于 Web 以及非 Web 的环境；
- 异构客户端会话访问；
- 非常简单的加密 API；
- 不跟任何的框架或者容器捆绑，可以独立运行。
Shiro四大核心功能:Authentication,Authorization,Cryptography,Session Management
Shiro架构
Shiro三个核心组件：Subject, SecurityManager 和 Realms.
Subject：主体，可以看到主体可以是任何可以与应用交互的 “用户”；
Realm：域，Shiro从从Realm获取安全数据（如用户、角色、权限），就是说SecurityManager要验证用户身份，那么它需要从Realm获取相应的用户进行比较以确定用户身份是否合法；也需要从Realm得到用户相应的角色/权限进行验证用户是否能进行操作；可以把Realm看成DataSource，即安全数据源。
两个配置类ShiroConfig和UserRealm
1 package com.example.shirodemo.config;
2
3 import at.pollux.thymeleaf.shiro.dialect.ShiroDialect;
4 import org.apache.shiro.spring.web.ShiroFilterFactoryBean;
5 import org.apache.shiro.web.mgt.DefaultWebSecurityManager;
6 import org.springframework.beans.factory.annotation.Qualifier;
7 import org.springframework.context.annotation.Bean;
8 import org.springframework.context.annotation.Configuration;
9
10 import java.util.LinkedHashMap;
11 import java.util.Map;
12
13 /**
14 * shiro配置类
15 */
16 @Configuration
17 public class ShiroConfig {
18 /**
19 * 创建ShiroFilterFactoryBean
20 */
21 @Bean
22 public ShiroFilterFactoryBean getShiroFilterFactoryBean(@Qualifier("securityManager") DefaultWebSecurityManager securityManager){
23 ShiroFilterFactoryBean shiroFilterFactoryBean=new ShiroFilterFactoryBean();
24 //设置安全管理器
25 shiroFilterFactoryBean.setSecurityManager(securityManager);
26 //添加Shiro拦截器
27 /**
28 * Shiro 内置过滤器，可以实现权限相关的拦截器
29 * anon:无需认证（登录）可以直接访问
30 * authc:必须认证才能访问
31 * user:如果使用rememberMe的功能才可以访问
32 * perms:该资源得到资源权限才可以访问
33 * role:该资源必须得到角色权限才可以访问
34 */
35 Map<String,String> filterMap=new LinkedHashMap<>();
36 /* filterMap.put("/add","authc");
37 filterMap.put("/update","authc");*/
38 // filterMap.put("/test","anon");
39 filterMap.put("/login","anon");
40 //添加Shiro授权拦截器
41 filterMap.put("/add","perms[添加]");
42 filterMap.put("/foresee","perms[预言未来]");
43 filterMap.put("/update","perms[修改]");
44 filterMap.put("/delete","perms[删除]");
45 //filterMap.put("/update","perms[]");
46 //filterMap.put("/delete","perms[]");
47 //filterMap.put("/getAll","perms[]");
48 filterMap.put("/*","authc");
49 //跳转到登陆的页面
50 shiroFilterFactoryBean.setLoginUrl("/tologin");
51 //设置未授权的页面
52 shiroFilterFactoryBean.setUnauthorizedUrl("/unAuth");
53 shiroFilterFactoryBean.setFilterChainDefinitionMap(filterMap);
54
55 return shiroFilterFactoryBean;
56 }
57 /**
58 * 创建DefaultWebSecurityManager
59 */
60 @Bean("securityManager")
61 public DefaultWebSecurityManager getDefaultWebSecurityManager(@Qualifier("userRealm") UserRealm userRealm){
62 DefaultWebSecurityManager securityManager=new DefaultWebSecurityManager();
63 //关联Realm
64 securityManager.setRealm(userRealm);
65 return securityManager;
66 }
67 /**
68 * 创建Realm
69 */
70 @Bean("userRealm")
71 public UserRealm getRealm(){
72 UserRealm userRealm=new UserRealm();
73 return userRealm;
74 }
75 /**
76 * 配置shiroDialect,用于thymeleaf和shiro标签配合使用
77 */
78 @Bean
79 public ShiroDialect getShiroDialect(){
80 ShiroDialect shiroDialect=new ShiroDialect();
81 return shiroDialect;
82 }
83 }
package com.example.shirodemo.config;
import com.example.shirodemo.bean.Permission;
import com.example.shirodemo.bean.User;
import com.example.shirodemo.service.IPermissionService;
import com.example.shirodemo.service.IUserService;
import org.apache.shiro.SecurityUtils;
import org.apache.shiro.authc.*;
import org.apache.shiro.authz.AuthorizationInfo;
import org.apache.shiro.authz.SimpleAuthorizationInfo;
import org.apache.shiro.realm.AuthorizingRealm;
import org.apache.shiro.subject.PrincipalCollection;
import org.apache.shiro.subject.Subject;
import org.springframework.security.core.GrantedAuthority;
import org.springframework.security.core.authority.SimpleGrantedAuthority;
import javax.annotation.Resource;
import java.util.ArrayList;
import java.util.List;
/**
* 自定义Realm
*/
public class UserRealm extends AuthorizingRealm {
@Resource
private IUserService userService;
@Resource
private IPermissionService permissionService;
/**
* 执行授权逻辑
* @param principalCollection
* @return
*/
@Override
protected AuthorizationInfo doGetAuthorizationInfo(PrincipalCollection principalCollection) {
System.out.println("执行授权逻辑");
/**
* 给资源授权
*/
SimpleAuthorizationInfo simpleAuthorizationInfo=new SimpleAuthorizationInfo();
//添加授权字符串
//simpleAuthorizationInfo.addStringPermission("user:add");
//--------------------认证账号
Subject subject= SecurityUtils.getSubject();
User user=(User)subject.getPrincipal();
User user1=userService.findById(user.getId());
if(user1==null){
//用户名不存在
return null;
}
//-------------------开始授权
List<Permission> permissions =permissionService.getPermissionByUserId(user1.getId());
for (Permission per : permissions) {
simpleAuthorizationInfo.addStringPermission(per.getName());
System.out.println("拥有权限："+per.getName());
}
return simpleAuthorizationInfo;
}
/**
* 执行认证逻辑
* @param authenticationToken
* @return
* @throws AuthenticationException
*/
@Override
protected AuthenticationInfo doGetAuthenticationInfo(AuthenticationToken authenticationToken) throws AuthenticationException {
System.out.println("执行认证逻辑");
/**
* 判断ShiroRealm逻辑UsernamePasswordToken是否正确
*/
//1判断用户名
UsernamePasswordToken usernamePasswordToken=(UsernamePasswordToken)authenticationToken;
User user=userService.findByname(usernamePasswordToken.getUsername());
if(user==null){
//用户名不存在
return null;
}
//判断密码是否正确
return new SimpleAuthenticationInfo(user,user.getPassword(),"");
}
}
认证过程
1 /**
2 * 登录逻辑处理
3 */
4 @RequestMapping("/login")
5 public String login(User user, Model model) {
6 /**
7 *使用shiro编写认证操作
8 */
9 //1：获取subject
10 Subject subject = SecurityUtils.getSubject();
11 //2:封装用户账号和密码
12 UsernamePasswordToken usernamePasswordToken = new UsernamePasswordToken(user.getUsername(), user.getPassword());
13 //3:执行登录方法
14 try {
15 subject.login(usernamePasswordToken);
16 model.addAttribute(user);
17 //登录成功
18 //成功后跳转到
19 //return "redirect:/test";
20 return "/test";
21 } catch (UnknownAccountException e) {
22 //e.printStackTrace();
23 //登录失败用户名不存在
24 model.addAttribute("msg","用户名不存在");
25 return "login";
26 }catch (IncorrectCredentialsException e){
27 //登录失败密码错误
28 model.addAttribute("msg","密码错误");
29 return "login";
30 }
31 }
32 }
Subject拿到用户数据后走UserRealm 类里面的认证逻辑，授权过程比较简单可以看你上面的代码，
Shiro配置拦截器
//添加Shiro拦截器
27 /**
28 * Shiro 内置过滤器，可以实现权限相关的拦截器
29 * anon:无需认证（登录）可以直接访问
30 * authc:必须认证才能访问
31 * user:如果使用rememberMe的功能才可以访问
32 * perms:该资源得到资源权限才可以访问
33 * role:该资源必须得到角色权限才可以访问
34 */
Spring Security
除了不能脱离Spring，shiro的功能它都有。而且Spring Security对Oauth、OpenID也有支持,Shiro则需要自己手动实现。Spring Security的权限细粒度更高,毕竟Spring Security是Spring家族的。
Spring Security一般流程为：
①当用户登录时，前端将用户输入的用户名、密码信息传输到后台，后台用一个类对象将其封装起来，通常使用的是UsernamePasswordAuthenticationToken这个类。
②程序负责验证这个类对象。验证方法是调用Service根据username从数据库中取用户信息到实体类的实例中，比较两者的密码，如果密码正确就成功登陆，同时把包含着用户的用户名、密码、所具有的权限等信息的类对象放到SecurityContextHolder（安全上下文容器，类似Session）中去。
③用户访问一个资源的时候，首先判断是否是受限资源。如果是的话还要判断当前是否未登录，没有的话就跳到登录页面。
④如果用户已经登录，访问一个受限资源的时候，程序要根据url去数据库中取出该资源所对应的所有可以访问的角色，然后拿着当前用户的所有角色一一对比，判断用户是否可以访问。
注：
OAuth在"客户端"与"服务提供商"之间，设置了一个授权层（authorization layer）。"客户端"不能直接登录"服务提供商"，只能登录授权层，以此将用户与客户端区分开来。"客户端"登录授权层所用的令牌（token），与用户的密码不同。用户可以在登录的时候，指定授权层令牌的权限范围和有效期。
"客户端"登录授权层以后，"服务提供商"根据令牌的权限范围和有效期，向"客户端"开放用户储存的资料。
OpenID 系统的第一部分是身份验证，即如何通过 URI 来认证用户身份。目前的网站都是依靠用户名和密码来登录认证，这就意味着大家在每个网站都需要注册用户名和密码，即便你使用的是同样的密码。如果使用 OpenID ，你的网站地址（URI）就是你的用户名，而你的密码安全的存储在一个 OpenID 服务网站上（你可以自己建立一个 OpenID 服务网站，也可以选择一个可信任的 OpenID 服务网站来完成注册）。
与OpenID同属性的身份识别服务商还有ⅥeID,ClaimID,CardSpace,Rapleaf,Trufina ID Card等，其中ⅥeID通用账户的应用最为广泛。
Spring Security和Shiro
相同点：
1：认证功能
2：授权功能
3：加密功能
4：会话管理
5：缓存支持
6：rememberMe功能.......
不同点：
优点：
1：Spring Security基于Spring开发，项目中如果使用Spring作为基础，配合Spring Security做权限更加方便，而Shiro需要和Spring进行整合开发
2：Spring Security功能比Shiro更加丰富些，例如安全防护
3：Spring Security社区资源比Shiro丰富
缺点：
1：Shiro的配置和使用比较简单，Spring Security上手复杂
2：Shiro依赖性低，不需要任何框架和容器，可以独立运行，而Spring Security依赖于Spring容器
