链接：https://pan.baidu.com/s/1AResFw6K7uIeyq3YZTo8ew 

提取码：q784 

 

1介绍

1.1Shiro应用的安全性

1.1.1介绍

当您试图保护您的应用程序时，您是否感到沮丧?您是否觉得现有的Java安全解决方案难以使用，只会使您更加迷惑?本文将介绍Apache Shiro，这是一个Java安全框架，它为应用程序安全性提供了一种简单但功能强大的方法。它解释了Apache Shiro的项目目标、架构哲学以及如何使用Shiro来保护您自己的应用程序。

1.1.2什么是shiro？

Apache Shiro是一个强大且易用的Java安全框架，进行身份验证、授权、密码学、会话管理和可用于安全的任何应用程序，包括：命令行应用程序、手机应用程序、最大的网络和企业应用程序等。

Shiro提供了以下方面的应用程序安全API：

认证：证明用户身份，通常称为用户“登录”。

授权：访问控制

密码学：保护或隐藏数据免受窥探

会话管理：每个用户的会话时间敏感状态

Shiro还支持一些辅助特性，如web应用程序安全性、单元测试和多线程支持，但这些特性的存在是为了加强上述四个主要关注点。

 

1.1.3为什么创建shiro？

一个框架要想真正证明它的存在，并因此成为您使用它的理由，它应该满足其他替代品无法满足的需求。要理解这一点，我们需要看看Shiro的历史和创建时的备选方案。

在2008年加入Apache软件基金会之前，Shiro已经5岁了，之前被称为JSecurity项目，始于2003年初。在2003年，对于Java应用程序开发人员来说，并没有很多通用的安全替代品——我们基本上只能使用Java身份验证和授权服务，也就是JAAS。JAAS有很多缺点——虽然它的身份验证功能在一定程度上还可以接受，但授权方面使用起来很迟钝，令人沮丧。另外，JAAS与虚拟机级别的安全性紧密相连。

由于我当时正在使用的应用程序，我还需要访问一种干净的、容器无关的会话机制。当时游戏中唯一的会话选择是需要web容器的HttpSessions，或需要EJB容器的EBJ 2.1有状态会话bean。我需要一些可以与容器解耦的东西，可以在我选择的任何环境中使用。

最后，还有密码学的问题。有时候我们都需要保证数据的安全，但是Java密码体系结构很难理解，除非您是密码专家。这个API充满了受控异常，使用起来很麻烦。我希望有一个更简洁的开箱即用的解决方案，可以在需要时轻松地加密和解密数据。

因此，看看2003年初的安全状况，您就会很快意识到，在一个单一、内聚的框架中，没有什么可以满足所有这些需求。因此，JSecurity和后来的Apache Shiro诞生了。

 

1.1.4今天为什么使用shiro？

自2003年以来，框架环境已经发生了很大的变化，所以今天使用Shiro仍然是有理由的。实际上有很多原因，如下:

易用性：易用性是该项目的最终目标。应用程序安全可能是非常令人困惑和沮丧的，并被认为是“必要之恶”。如果你让它使用起来如此简单，新手程序员都可以开始使用它，它就不会再痛苦了。

全面：没有其他的安全框架具有Apache Shiro所宣称的广泛的范围，所以它可能是您的安全需求的“一站式商店”

灵活：Apache Shiro可以在任何应用环境中工作。虽然它在web、EJB和IoC环境中工作，但不需要它们。Shiro也没有要求任何规范，甚至没有很多依赖关系。

Web能力：Apache Shiro提供了出色的Web应用程序支持，允许您基于应用程序url和Web协议(如REST)创建灵活的安全策略，同时还提供了一组JSP库来控制页面输出

可插拔：Shiro干净的API和设计模式使得它很容易与许多其他框架和应用程序集成。您将看到Shiro与Spring、Grails、Wicket、Tapestry、Mule、Apache Camel、Vaadin等框架无缝集成。

支持：Apache Shiro是Apache软件基金会的一部分，该组织已被证明以其社区的最佳利益行事。项目开发和用户组有友好的市民随时准备提供帮助。商业公司，如Katasoft也提供专业支持和服务，如果需要。