Shiro 分析

安全框架Shiro和Spring Security比较,本文主要围绕Shiro进行学习 一 Shiro 是一个强大而灵活的开源安全框架,能够清晰的处理认证 授权 管理会话以及,密码加密 01 .认证与授权相关概念 安全实体:  系统需要保护的具体对象数据 权限: 系统相关的功能操作,例如基本的CRUD Authentication:身份认证授权/登录,验证用户是否拥有相应的身份 Authorization:  授权,即权限的认证,认证某个已认证的用户是否拥有某个权限 Session  Manag

1.Shiro默认的Session处理方式 <!-- 定义 Shiro 主要业务对象 --> <bean id="securityManager" class="org.apache.shiro.web.mgt.DefaultWebSecurityManager"> <!-- <property name="sessionManager" ref="sessionManager" />

Shiro授权简介 Shiro授权简单来说分为两种类型: 粗粒度的:也就是代码中直接写入和角色的绑定. 细粒度的:代码中写入的是和权限的绑定,而角色到权限和可配置的. 对于粗粒度来说,若角色对应权限有改变的话,那么则需要更改代码,很不方便.而细粒度的好处显而易见,所以一般项目中应该都采用细粒度的权限配置. 源码及流程分析 那么Shiro中是如何来完成权限检验的呢? 通过调用Subject.hasRoles(...)或Subject.isPermitted(...) 另外还有Subject.che

1. Shiro是什么 Apache Shiro是一个强大灵活的开源安全框架,可以完全处理身份验证,授权,企业会话管理和加密. Apache Shiro的首要目标是易于使用和理解. 安全有时可能非常复杂,甚至痛苦,但使用Shiro后就不一定是这样了. 框架应该在可能的情况下掩盖复杂性,并展示一个干净,直观的API,这简化了开发人员工作,并使应用程序更安全. 这里有一些可以使用Apache Shiro完全的应用场景: 验证用户以及验证其身份. 对用户执行访问控制,例如:在任何环境中使用会话API,

Shiro的Filter机制详解 首先从spring-shiro.xml的filter配置说起,先回答两个问题: 1, 为什么相同url规则,后面定义的会覆盖前面定义的(执行的时候只执行最后一个). 2, 为什么两个url规则都可以匹配同一个url,只执行第一个呢. 下面分别从这两个问题入手,最终阅读源码得到解答. 问题一解答 相同url但定义在不同的行,后面覆盖前面 如 /usr/login.do=test3 /usr/login.do=test1,test2 不会执行test3的filter

1.Shiro默认的Session处理方式 <!-- 定义 Shiro 主要业务对象 --> <bean id="securityManager" class="org.apache.shiro.web.mgt.DefaultWebSecurityManager"> <!-- <property name="sessionManager" ref="sessionManager" />

http://my.oschina.net/huangyong/blog/215153 Shiro 是一个非常优秀的开源项目,源码非常值得学习与研究. 我想尝试做一次 不一样 的源码分析:源码分析不再是一个人的自我享受,而是大家共同探讨与相互学习. 目录 Shiro 之 入口:EnvironmentLoaderListener[由 黄勇 分享] Shiro 之 Filter(上):ShiroFilter[由 黄勇 分享] Shiro 之 Filter(下) Shiro 之 Realm[由 Dea

在两天在看Shiro,开涛兄的教程还是写的比较易读,差不多看了一天吧,就准备拿来用了. 可能是想的太简单了,在用的时候确实碰到一些问题,就拿最简单的身份验证来说吧: 需要说明的是,这里是集成在Spring中使用,身份验证我直接使用了Shiro提供的 org.apache.shiro.web.filter.authc.FormAuthenticationFilter 如果url应用了该拦截器,那么处理流程是大致这样的: 由于之前用markdown花的流程图显示不下,所以还是改成图片形式了. 比如我

从realm中获取所有需要的用户,角色,权限 从Subject开始, The term <em>principal</em> is just a fancy security term for any identifying attribute(s) of an applicationuser, such as a username, or user id, or public key, or anything else you might use in your applicat