shiro框架学习-1-shiro基本概念

1. 什么是权限控制

基本上涉及到用户参与的系统都要进行权限管理，权限管理属于系统安全的范畴，权限管理实现对用户访问系统的控制，按照安全规则或者安全策略控制用户可以访问而且只能访问自己被授权的资源，

理解两个概念：用户和资源，权限控制就是让指定的用户，只能操作指定的资源（CRUD），这里的用户，也包含机机接口的访问方。权限管理包括用户身份认证和授权两部分，简称认证授权。对于需要访问

控制的资源用户首先经过身份认证，认证通过后用户具有该资源的访问权限方可访问。

2. 什么是ACL和RBAC

* ACL: Access Control List 访问控制列表

* 以前盛行的一种权限设计，它的核心在于用户直接和权限挂钩

  * 优点：简单易用，开发便捷
  * 缺点：用户和权限直接挂钩，导致在授予时的复杂性，比较分散，不便于管理
  * 例子：常见的文件系统权限设计, 直接给用户加权限
* RBAC: Role Based Access Control 
  * 基于角色的访问控制系统。权限与角色相关联，用户通过成为适当角色的成员而得到这些角色的权限
  * 优点：简化了用户与权限的管理，通过对用户进行分类，使得角色与权限关联起来
  * 缺点：开发对比ACL相对复杂
  * 例子：基于RBAC模型的权限验证框架与应用 Apache Shiro、spring Security
* BAT企业 ACL，一般是对报表系统，阿里的ODPS
* 总结：不能过于复杂，规则过多，维护性和性能会下降， 更多分类 ABAC、PBAC等

3.Shiro架构图交互和四大核心模块身份认证，授权，会话管理和加密

Apache Shiro官网 http://shiro.apache.org/introduction.html

身份认证 Authentication，一般就是登录(不仅仅是人机交互的登录，也是机机交互之间的登录)

授权 Authorization，给用户分配角色或者访问某些资源的权限

会话管理 Session Management, 用户的会话管理员，多数情况下是web session(也包括机机交互时的登录session)

加密 Cryptography, 数据加解密，比如密码加解密等

4.Shiro常见名称：

Subject
- 我们把用户或者程序称为主体（如用户，第三方服务，定时任务作业），主体去访问系统或者资源
SecurityManager
- 安全管理器，Subject的认证和授权都要在安全管理器下进行
Authenticator
- 认证器，主要负责Subject的认证
Realm
- 数据域，Shiro和安全数据的连接器，好比jdbc连接数据库；通过realm获取认证授权相关信息
Authorizer
- 授权器，主要负责Subject的授权, 控制subject拥有的角色或者权限
Cryptography
- 加解密，Shiro的包含易于使用和理解的数据加解密方法，简化了很多复杂的api
Cache Manager
- 缓存管理器，比如认证或授权信息，通过缓存进行管理，提高性能更多资料导航：http://shiro.apache.org/reference.html

5.用户访问Shrio权限控制运行流程

用户(subject)输入账号密码-> realem获取认证授权相关信息-> Authenticator进行认证 -> Authorizer进行授权