Shiro技术原理与实战全景详解

---

Shiro技术原理与实战全景详解

---

一、Shiro简介

Apache Shiro 是一款强大、易用的Java安全框架，提供了身份认证、授权、加密、会话管理等安全能力。它以简单易用、可插拔、灵活扩展著称，广泛应用于 Java EE、Spring Boot 等主流技术栈。

---

二、Shiro主流程环节与设计思想

2.1 主流程环节概览

Shiro的核心流程分为四大环节：

1. 认证（Authentication）：用户身份校验（登录）
2. 授权（Authorization）：基于角色/权限访问控制
3. 会话管理（Session Management）：用户会话生命周期管理
4. 加密（Cryptography）：数据加解密与安全存储

主流程图

成功

有权限

无权限

请求到达

Subject身份认证

会话创建/管理

授权检查

访问资源

拒绝访问

2.2 设计思想与技巧

• 分层解耦：认证、授权、会话、加密各自独立，灵活组合
• 可插拔架构：Realm、Session、Cache等均可自定义/替换
• 主体（Subject）统一入口：所有安全操作均以Subject为中心
• 最小权限原则：授权细粒度控制，提升安全性
• 缓存机制：权限、认证信息可缓存，提升性能

优缺点分析

优点	缺点
API简洁，易用	社区活跃度不如Spring Security
组件解耦，支持灵活扩展	默认不支持OAuth2、JWT等新型认证方式
支持多种数据源和分布式扩展	配置不当易导致安全漏洞
性能高，适合企业级高并发场景	文档相对零散，学习曲线略高

---

三、Shiro核心模块深度解析与源码行级注释

3.1 核心模块总览

层次/模块	作用简述
Subject	安全操作主体（用户/服务等）
SecurityManager	安全管理器，协调各子模块
Realm	数据源桥梁（认证/授权）
Authenticator	认证器
Authorizer	授权器
Session	会话对象
SessionManager	会话管理器
SessionDAO	会话持久化
CacheManager	缓存管理
Cryptography	加密解密
Filter	Web安全过滤器
EventBus	事件总线
Mgt（管理）模块	统一管理接口

3.2 各模块源码行级解读

① Subject（安全主体）

public void login(AuthenticationToken token) throws AuthenticationException {
    if (token == null) throw new IllegalArgumentException("Token不能为空");
    SecurityManager securityManager = getSecurityManager();
    Subject subject = securityManager.login(this, token);
    this.principals = subject.getPrincipals();
    this.authenticated = true;
}

• 检查token非空，避免空指针。
• 委托SecurityManager完成认证。
• 认证成功，刷新身份信息和认证状态。

速记口诀：有事找Subject，一切皆入口。

---

② SecurityManager（安全管理器）

public Subject login(Subject subject, AuthenticationToken token) throws AuthenticationException {
    AuthenticationInfo info = this.authenticator.authenticate(token);
    PrincipalCollection principals = info.getPrincipals();
    return createSubject(token, info, subject.getSession());
}

• 调用Authenticator认证。
• 提取认证后的身份信息。
• 组装新的Subject实例。

速记口诀：安全大总管，调度全局安。

---

③ Realm（领域/数据源）

认证流程：

protected AuthenticationInfo doGetAuthenticationInfo(AuthenticationToken token) throws AuthenticationException {
    String username = (String) token.getPrincipal();
    User user = userService.findByUsername(username);
    if (user == null) throw new UnknownAccountException("用户不存在");
    return new SimpleAuthenticationInfo(user, user.getPassword(), getName());
}

授权流程：

protected AuthorizationInfo doGetAuthorizationInfo(PrincipalCollection principals) {
    User user = (User) principals.getPrimaryPrincipal();
    Set<String> roles = roleService.findRolesByUserId(user.getId());
    Set<String> perms = permService.findPermsByRoles(roles);
    SimpleAuthorizationInfo info = new SimpleAuthorizationInfo();
    info.setRoles(roles);
    info.setStringPermissions(perms);
    return info;
}

速记口诀：认证查用户，授权查权限。

---

④ Authenticator（认证器）

public AuthenticationInfo authenticate(AuthenticationToken token) throws AuthenticationException {
    Collection<Realm> realms = getRealms();
    if (realms.size() == 1) {
        return doSingleRealmAuthentication(realms.iterator().next(), token);
    } else {
        return doMultiRealmAuthentication(realms, token);
    }
}

• 单Realm或多Realm灵活支持。

速记口诀：认证策略多，成功即通过。

---

⑤ Authorizer（授权器）

public boolean isPermitted(PrincipalCollection principals, String permission) {
    for (Realm realm : getRealms()) {
        if (realm instanceof Authorizer) {
            if (((Authorizer) realm).isPermitted(principals, permission)) {
                return true;
            }
        }
    }
    return false;
}

• 多Realm授权，灵活扩展。

速记口诀：查权限，分角色，表达式支持多。

---

⑥ Session / SessionManager / SessionDAO

SimpleSession：

public class SimpleSession implements Session, Serializable {
    private Serializable id;
    private Date startTimestamp;
    private Date lastAccessTime;
    private long timeout;
    private Map<Object, Object> attributes;
    public Object getAttribute(Object key) {
        return attributes != null ? attributes.get(key) : null;
    }
    public void setAttribute(Object key, Object value) {
        if (attributes == null) attributes = new HashMap<>();
        attributes.put(key, value);
    }
}

SessionDAO接口：

public interface SessionDAO {
    Serializable create(Session session);
    Session readSession(Serializable sessionId);
    void update(Session session);
    void delete(Session session);
    Collection<Session> getActiveSessions();
}

速记口诀：会话分三层，持久化灵活存。

---

⑦ CacheManager（缓存管理）

public class EhCacheManager implements CacheManager {
    private net.sf.ehcache.CacheManager manager;
    public <K, V> Cache<K, V> getCache(String name) throws CacheException {
        net.sf.ehcache.Ehcache ehcache = manager.getEhcache(name);
        return new EhCache<K, V>(ehcache);
    }
}

• 通过第三方缓存实现Shiro缓存接口。

速记口诀：缓存提性能，失效保一致。

---

⑧ Cryptography（加密模块）

public SimpleHash(String algorithmName, Object source, Object salt, int hashIterations) {
    ByteSource saltBytes = ByteSource.Util.bytes(salt);
    byte[] input = source.toString().getBytes();
    for (int i = 0; i < hashIterations; i++) {
        input = MessageDigest.getInstance(algorithmName).digest(input);
        if (saltBytes != null) {
            input = combine(input, saltBytes.getBytes());
        }
    }
    this.bytes = input;
}

• 多次哈希并加盐，防止暴力破解。

速记口诀：加密全家桶，安全有保障。

---

⑨ Filter（Web过滤器）

protected boolean onAccessDenied(ServletRequest request, ServletResponse response) throws Exception {
    if (isLoginRequest(request, response)) {
        if (isLoginSubmission(request, response)) {
            return executeLogin(request, response);
        }
        return true;
    } else {
        saveRequestAndRedirectToLogin(request, response);
        return false;
    }
}

• 拦截未登录请求，重定向到登录页。

速记口诀：过滤链拦截，规则灵活配。

---

⑩ EventBus（事件总线）

public void publish(Object event) {
    for (Object listener : listeners) {
        if (listener.supports(event)) {
            listener.onEvent(event);
        }
    }
}

• 事件驱动，实现解耦。

速记口诀：事件总线通，异步更灵动。

---

⑪ Mgt（管理模块）

public Session start(SessionContext context) {
    Session session = createSession(context);
    this.sessionDAO.create(session);
    return session;
}

• 统一管理会话的创建、持久化。

速记口诀：统一管理口，扩展维护优。

---

3.3 模块间关系架构图

协调

协调

协调

协调

SecurityManager

Authenticator

Authorizer

SessionManager

CacheManager

Realm

SessionDAO

Subject

Web请求

Filter

---

四、主流程伪代码与实战技巧

4.1 认证流程伪代码

function login(username, password):
    subject = SecurityUtils.getSubject()
    token = UsernamePasswordToken(username, password)
    try:
        subject.login(token)
        return "登录成功"
    except AuthenticationException:
        return "登录失败"

4.2 授权流程伪代码

function checkAccess(resource, action):
    subject = SecurityUtils.getSubject()
    if subject.isPermitted(resource + ":" + action):
        return "允许访问"
    else:
        return "拒绝访问"

4.3 会话管理伪代码

function storeSessionData(key, value):
    subject = SecurityUtils.getSubject()
    session = subject.getSession()
    session.setAttribute(key, value)

---

五、实际业务场景与调优建议

5.1 典型场景：电商后台权限管理

• 管理员：全部权限
• 商家：仅能管理自己商品
• 客服：仅能查看订单

Controller注解用法：

@RequiresPermissions("order:view")
public String viewOrder() { ... }

调试与优化技巧：

• 开启Shiro日志，定位认证与授权问题
• 配置缓存（如EhCache/Redis）提升授权性能
• 断点调试Realm逻辑，确保正确获取和比对权限

---

六、与主流技术栈集成与高阶应用

6.1 Spring Boot集成

<dependency>
    <groupId>org.apache.shirogroupId>
    <artifactId>shiro-spring-boot-starterartifactId>
    <version>1.9.1version>
dependency>

@Bean
public ShiroFilterFactoryBean shiroFilter(SecurityManager securityManager) {
    ShiroFilterFactoryBean bean = new ShiroFilterFactoryBean();
    bean.setSecurityManager(securityManager);
    Map<String, String> filterChain = new LinkedHashMap<>();
    filterChain.put("/admin/**", "roles[admin]");
    bean.setFilterChainDefinitionMap(filterChain);
    return bean;
}

6.2 分布式与高阶应用

• 会话共享：结合Redis实现分布式Session
• JWT集成：自定义Realm支持无状态令牌认证
• 微服务安全：可与Spring Cloud Gateway等API网关集成

---

七、底层实现与架构演进

• 单体应用：本地Session、单点登录
• 分布式应用：Session集中存储（如Redis）、JWT无状态认证
• 云原生安全：与服务网格、API网关结合，统一权限管理

高级算法与实现：

• 权限表达式解析（如perms[user:add]，支持Ant风格通配）
• 缓存同步算法（如LRU、失效通知，保障分布式一致性）
• 加密算法支持多种（MD5、SHA、AES等）

---

八、参考资料

1. Shiro官方文档
2. Shiro源码分析
3. NIST RBAC标准
4. 《Java安全实战》- 机械工业出版社
5. Spring Boot集成Shiro最佳实践

---

九、全文总结与速记口诀

Shiro作为一款轻量级、可扩展的Java安全框架，以Subject为中心，分层解耦认证、授权、会话、加密等安全功能。可插拔架构、灵活扩展能力使其适用于各类企业级应用和分布式系统。通过自定义Realm、缓存优化、与主流技术栈集成，Shiro能够满足高并发、高安全性场景需求。理解其主流程、源码与架构演进，有助于在实际项目中设计高效、安全的权限管理体系。

速记口诀：
主流程分四步，认证授权会话密；
Subject为核心，分层解耦扩展易；
缓存优化提性能，架构演进应分布。

---

如需某个模块的全量源码逐行注释，或有具体业务集成问题，欢迎留言交流！