群众好，我是 V 哥。Apache Shiro 是一个稠密且天果真 Java 安全框架，专注于提供认证、授权、会话处分和加密功能。它常用于保护 Java 期骗的拜谒适度，尽头是在 Web 期骗中。比较于 Spring Security，Shiro 的盘算更直快，相宜轻量级期骗，何况在很多方面具有更好的易用性和延伸性，今天 V 哥就来聊聊 Shiro 安全框架。Shiro 的中枢看法按照老例，和 V 哥沿路来了解一下 Shiro 的中枢看法：SubjectSubject 是 Shiro 框架中一个中枢的接口，示意期骗中的“用户”或“实体”，用于交互和存储认证现象。常常通过 SecurityUtils.getSubject() 赢适应前的 Subject。它代表了用户的身份信息和权限数据。SecurityManagerSecurityManager 是 Shiro 的中枢适度器欧洲杯投注入口，慎重处分通盘的安全操作和认证。通过成立 SecurityManager，不错适度用户的认证、授权、会话等处分。RealmRealm 是 Shiro 从数据源赢得用户、脚色和权限信息的道路。通过杀青自界说的 Realm，不错将 Shiro 与数据库、LDAP、文献等数据源整合。Shiro 会把用户的认证和授权数据从 Realm 中赢得。SessionShiro 自带会话处分，不依赖于 Servlet 容器提供的会话。即使在非 Web 环境下，也不错使用 Shiro 的会话处分。Shiro 的会话处分提供了更紧密的适度，比如会话超时、存储和分享等功能。Authentication（认证）认证是指考证用户身份的经由。Shiro 提供了简便的 API 来杀青认证经由，比如 subject.login(token)。在履行期骗中，常常通过用户名和密码的组合进行认证，但 Shiro 也辅助其他状貌（如 OAuth2、JWT 等）。Authorization（授权）授权是指考证用户是否具备某些权限或脚色的经由。Shiro 辅助基于脚色和基于权限的授权，允许更精细的权限适度。通过 subject.hasRole 或 subject.isPermitted 措施，建设者不错检验用户的脚色和权限。Cryptography（加密）Shiro 内置了加密功能，提供对密码和明锐信息的加密息争密辅助。它辅助多种加密算法，何况在密码存储时辅助散列和盐值。Shiro 的主邀功能和上风V 哥追忆几点Shiro 的主邀功能和上风，这个在口试时吹给力用得到。易于集成Shiro 的 API 盘算简便，易于集成到各式 Java 期骗中。建设者不错基于 Shiro 提供的默许杀青快速搭建一个基本的安全架构，也不错凭据需要自界说各式功能。寂然的会话处分与基于 Web 容器的会话处分不同，Shiro 提供了跨环境的会话处分，不错期骗于 Web 和非 Web 的环境，增多了期骗的天真性。权限适度简便而天真Shiro 的权限处分不错通过成立文献、注解或代码杀青，提供了细粒度的拜谒适度。通过权限和脚色的组合，建设者不错相配天真地适度拜谒权限。辅助多种数据源Shiro 不错从多种数据源（如数据库、LDAP、文献等）赢得用户和权限信息，便捷与各式现存系统整合。辅助 Web 和非 Web 环境Shiro 不仅不错在 Web 期骗中使用，也辅助在桌面期骗或微奇迹等环境中使用。Shiro 的基本使用示例光讲看法不是 V 哥作风，接下来，通过一个典型的 Shiro 期骗来了解一下如何使用，包含成立 SecurityManager、成立 Realm、进行认证和授权等智商。成立 Shiro 环境不错通过 shiro.ini 文献成立 Shiro，也不错通过代码进行成立。 [main] # 成立 SecurityManager securityManager = org.apache.shiro.mgt.DefaultSecurityManager # 成立 Realm myRealm = com.wg.MyCustomRealm securityManager.realms = $myRealm创建自界说 Realm自界说 Realm 通过秉承 AuthorizingRealm 并杀青 doGetAuthenticationInfo 和 doGetAuthorizationInfo 措施来提供用户和权限数据。publicclassMyCustomRealmextendsAuthorizingRealm{@Overrideprotected AuthenticationInfo doGetAuthenticationInfo(AuthenticationToken token)throws AuthenticationException {// 赢得用户名和密码等信息，查询数据库进行认证returnnew SimpleAuthenticationInfo(username, password, getName()); }@Overrideprotected AuthorizationInfo doGetAuthorizationInfo(PrincipalCollection principals){// 赢得用户脚色和权限信息 SimpleAuthorizationInfo info = new SimpleAuthorizationInfo(); info.addRole("admin"); info.addStringPermission("user:read");return info; } }使用 Shiro 进行认证和授权 Subject currentUser = SecurityUtils.getSubject();if (!currentUser.isAuthenticated()) { UsernamePasswordToken token = new UsernamePasswordToken("username", "password");try { currentUser.login(token); System.out.println("认证顺利"); } catch (AuthenticationException ae) { System.out.println("认证失败"); } }// 检验权限if (currentUser.hasRole("admin")) {//用输出模拟一下哈 System.out.println("用户领有 admin 脚色"); }if (currentUser.isPermitted("user:read")) {//用输出模拟一下哈 System.out.println("用户具有 user:read 权限"); }通过这个简便的案例学习，我们不错了解 Shiro 的基本使用，但这不是全部，听V哥持续逐步谈来。场景案例这点很弥留，强调一下哈，Shiro 相宜需要直快易用、安全适度条目天果真 Java 期骗，如中微型 Web 期骗、桌面期骗、漫衍式微奇迹等。关于大型企业期骗或需要集成多种认证状貌（如 OAuth2、JWT 等）的格局，Spring Security 可能会更合适。要在微奇迹架构中杀青基于 Apache Shiro 的安全认证和授权，比如一个订单处分系统为例。这个系统包含两个主要奇迹：用户奇迹：慎重用户的注册、登录、认证等操作。订单奇迹：允许用户创建、检验、删除订单，并截止拜谒权限。我们来看一下，这个应该怎样盘算呢？微奇迹案例盘算在这个场景中，我们需要以下几项中枢功能：用户认证：用户通过用户名和密码登录。权限适度：仅处分员能删除订单，庸碌用户只可检验和创建订单。Token机制：使用 JWT Token（JSON Web Token）来处分用户的登录现象，杀青无现象认证，使得在漫衍式环境下不依赖于单一会话。跨奇迹认证：订单奇迹在继承到央求时，检验并考证用户的身份和权限。架构和技巧选型Spring Boot：用于快速搭建微奇迹。Shiro：杀青认证、授权。JWT：生成和考证 Token，保握无现象认证。Spring Data JPA：拜谒数据库存储用户和订单数据。系统结构+------------------+ +---------------------+| 用户奇迹 | | 订单奇迹