让ApacheShiro保护你的应用

Shiro

需积分: 10 175 浏览量更新于2023-03-03 评论收藏 121KB DOC 举报

身份认证购VIP最低享 7 折!

领优惠券(最高得80元）

资源详情

资源评论

资源推荐



让 Apache Shiro 保护你的应用

在尝试保护你的应用时，你是否有过挫败感？是否觉得现有的  安全解决方案难以使用，只会让你

更糊涂？本文介绍的 Apache Shiro，是一个不同寻常的  安全框架，为保护应用提供了简单而强大的

方法。本文还解释了  的项目目标、架构理念以及如何使用  为应用安全保驾护航。

第1章什么是 Apache Shiro？

（发音为“，日语“堡垒（）”的意思）是一个强大易用的  安全框架，

提供了认证、授权、加密和会话管理功能，可为任何应用提供安全保障从命令行应用、移动应用到大型

网络及企业应用。

 为解决下列问题（我喜欢称它们为应用安全的四要素）提供了保护应用的 ：

 认证用户身份识别，常被称为用户“登录”；

 授权访问控制；

 密码加密保护或隐藏数据防止被偷窥；

 会话管理每用户相关的时间敏感的状态。

 还支持一些辅助特性，如  应用安全、单元测试和多线程，它们的存在强化了上面提到的四

个要素。

第2章为何要创建 Apache Shiro？

对于一个框架来讲，使其有存在价值的最好例证就是有让你去用它的原因，它应该能完成一些别人无

法做到的事情。要理解这一点，需要了解  的历史以及创建它时的其他替代方法。

在  年加入  软件基金会之前， 已经  岁了，之前它被称为  项目，始于 

年初。当时，对于  应用开发人员而言，没有太多的通用安全替代方案 我们被  认证!授权服务

（或称为 ）紧紧套牢了。 有太多的缺点尽管它的认证功能尚可忍受，但授权方面却显得拙劣，

用起来令人沮丧。此外， 跟虚拟机层面的安全问题关系非常紧密，如判断 "# 中是否允许装入一个

类。作为应用开发者，我更关心应用最终用户能做什么，而不是我的代码在 "# 中能做什么。

由于当时正从事应用开发，我也需要一个干净、容器无关的会话机制。在当时，“这场游戏”中唯一可

用的会话是 $%&，它需要  容器；或是 '() 里的有状态会话 (&，这又要 '( 容器。而我想

要的一个与容器脱钩、可用于任何我选择的环境中的会话。



最后就是加密问题。有时，我们需要保证数据安全，但是  密码架构（ *

）让人难以理解，除非你是密码学专家。 里到处都是 +,'-.&，用起来很麻烦。

我需要一个干净、开箱即用的解决方案，可以在需要时方便地对数据加密!解密。

于是，纵观  年初的安全状况，你会很快意识到还没有一个大一统的框架满足所有上述需求。有

鉴于此，（即之后的 ）诞生了。

第3章今天，你为何愿意使用 Apache

Shiro？

从  年至今，框架选择方面的情况已经改变了不少，但今天仍有令人信服的理由让你选择 。

其实理由相当多，：

 易于使用F易用性是这个项目的最终目标。应用安全有可能会非常让人糊涂，令人沮丧，并被

认为是“必要之恶”【译注：比喻应用安全方面的编程。】。若是能让它简化到新手都能很快上

手，那它将不再是一种痛苦了。

 广泛性F没有其他安全框架可以达到  宣称的广度，它可以为你的安全需求提供“一

站式”服务。

 灵活性F 可以工作在任何应用环境中。虽然它工作在 、'( 和  环境中，但

它并不依赖这些环境。 既不强加任何规范，也无需过多依赖。

  能力F 对  应用的支持很神奇，允许你基于应用 /01 和  协议（如

0'2）创建灵活的安全策略，同时还提供了一套控制页面输出的  标签库。

 可插拔F 干净的  和设计模式使它可以方便地与许多的其他框架和应用进行集成。你将

看到  可以与诸如 &*、3、+、2、#、4、",& 这类第

三方框架无缝集成。

 支持F 是  软件基金会成员，这是一个公认为了社区利益最大化而行动的组

织。项目开发和用户组都有随时愿意提供帮助的友善成员。像 56 这类商业公司，还可以

给你提供需要的专业支持和服务。



第4章谁在用 Shiro?

 及其前身  已被各种规模和不同行业的公司项目采用多年。自从成为  软件基金会

的顶级项目后，站点流量和使用呈持续增长态势。许多开源社区也正在用 ，这里有些例子如

&*，3，+，2，2&4，# 和 ",&。

如 56，&，#6 这样的商业公司，一家大型社交网络和多家纽约商业银行都在使用

 来保护他们的商业软件和站点。

第5章核心概念

既然已经描述了  的好处，那就让我们看看它的 ，好让你能够有个感性认识。 架构有三

个主要概念7，#&* 和 04。

5.1 Subject

在考虑应用安全时，你最常问的问题可能是“当前用户是谁？”或“当前用户允许做 8 吗？”。当我们写

代码或设计用户界面时，问自己这些问题很平常：应用通常都是基于用户故事构建的，并且你希望功能描

述（和安全）是基于每个用户的。所以，对于我们而言，考虑应用安全的最自然方式就是基于当前用户

 的  用它的 7 概念从根本上体现了这种思考方式。

Subject 一词是一个安全术语，其基本意思是“当前的操作用户”。称之为“用户”并不准确，因为“用户”

一词通常跟人相关。在安全领域，术语“7可以是人，也可以是第三方进程、后台帐户（94&

&）或其他类似事物。它仅仅意味着“当前跟软件交互的东西”。但考虑到大多数目的和用途，你可以

把它认为是  的“用户”概念。在代码的任何地方，你都能轻易的获得 7，参见如下代码：

清单 1. 获得 Subject

4*)))7)7:

4*)))/.:

)))

7&/;/.)*7<=:

一旦获得 7，你就可以立即获得你希望用  为当前用户做的 >?的事情，如登录、登出、访



问会话、执行授权检查等稍后还会看到更多。这里的关键点是  的  非常直观，因为它反映了开发

者以‘每个用户’思考安全控制的自然趋势。同时，在代码的任何地方都能很轻松地访问 7，允许在任

何需要的地方进行安全操作。

5.2 SecurityManager

7 的“幕后”推手是 #&*。7 代表了当前用户的安全操作，#&* 则管

理所有用户的安全操作。它是  框架的核心，充当“保护伞”，引用了多个内部嵌套安全组件，它们形成

了对象图。但是，一旦 #&* 及其内部对象图配置好，它就会退居幕后，应用开发人员几乎把

他们的所有时间都花在 7 调用上。

那么，如何设置 #&* 呢？嗯，这要看应用的环境。例如， 应用通常会在 )-4 中

指定一个 @，这会创建 #&* 实例，如果你运行的是一个独立应用，你需要用其

他配置方式，但有很多配置选项。

一个应用几乎总是只有一个 #&* 实例。它实际是应用的 &*&（尽管不必是一个静态

&*&）。跟  里的几乎所有组件一样，#&* 的缺省实现是 POJO，而且可用 AA 兼容

的任何配置机制进行配置普通的  代码、&*8#1、B#1、). 和)& 文件等。基本来讲，能

够实例化类和调用 (& 兼容方法的任何配置形式都可使用。

为此， 借助基于文本的 INI

配置提供了一个缺省的“公共”解决方案。C 易于阅读、使用简单并且

需要极少依赖。你还能看到，只要简单地理解对象导航，C 可被有效地用于配置像 #&* 那样

简单的对象图。注意， 还支持 &*8#1 配置及其他方式，但这里只我们只讨论 C。

下列清单  列出了基于 C 的  最简配置：

清单 2. 用 INI 配置 Shiro

D4&E

4;*)))),&.)$,,&.#

4)*4;$

4).&;F

G(HF&,&*<-=I

4),,&.$-'&,,;J

&04),&.#;K4

DE

剩余17页未读，继续阅读

horizonlyhw

粉丝: 122
资源: 12

会员权益专享

让Apache Shiro保护你的应用

评论0

会员权益专享

最新资源

让Apache Shiro保护你的应用

评论0

让Apache_Shiro保护你的应用.pdf

使用Apache Shiro保护你的WEB应用

apache-shiro-tutorial-webapp：分步教程，显示如何使用Apache Shiro保护Web应用程序

Apache Shiro 安全框架700字

Apache Shiro 1.12.0

Apache Shiro是什么

apache shiro1.12.0

spring boot 解决Apache Shiro身份认证绕过漏洞（CVE-2023-22602）

apache shiro

Apache Shiro组件

Apache Shiro

介绍Apache Shiro

shiro/shiro/default-key

shiro和spring security oather2

apache.shiro

shiro-core-1.8.0.jar

shiro漏洞流量特征

shiro 整合oauth2

springboot 安全框架

简要介绍Shiro技术

会员权益专享

最新资源