Shiro之权限管理的概念

文章目录

• • 前言:什么是shiro
• 一、什么是权限管理？
• • 举例
• 二、权限管理的具体分类
• • 1.身份认证
  • 2.授权
• 总结

前言:什么是shiro

Apache Shiro 是一个开源安全框架，提供身份验证、授权、密码学和会话管理。Shiro框架直观、易用，同时也能提供健壮的安全性。

一、什么是权限管理？

权限管理，一般指根据系统设置的安全规则或者安全策略，用户可以访问而且只能访问自己被授权的资源

举例

企业IT管理员一般都能为系统定义角色，给用户分配角色。这就是最常见的基于角色访问控制。场景举例：
1、给张三赋予“人力资源经理”角色，“人力资源经理”具有“查询员工”、“添加员工”、“修改员工”和“删除员工”权限。此时张三能够进入系统，则可以进行这些操作；
2、去掉李四的“人力资源经理”角色，此时李四就不能够进入系统进行这些操作了。
以上举例，局限于功能访问权限。还有一些更加丰富、更加细腻的权限管理。比如：
1、因为张三是北京分公司的“人力资源经理”，所以他能够也只能够管理北京分公司员工和北京分公司下属的子公司（海淀子公司、朝阳子公司、西城子公司、东城子公司等）的员工；
2、因为王五是海淀子公司的“人力资源经理”，所以他能够也只能够管理海淀子公司的员工；
3、普通审查员审查财务数据的权限是：在零售行业审核最高限额是￥50万，在钢铁行业最高限额是￥1000万；高级审查员不受该限额限制；
4、ATM取款每次取款额不能超过￥5000元，每天取款总额不能超过￥20000元。
这些权限管理和数据（可以统称为资源）直接相关，又称为数据级权限管理、细粒度权限管理或者内容权限管理

二、权限管理的具体分类

1.身份认证

判断一个用户是否是合法用户的处理过程，最常用的认证方式是系统通过核对用户输入的用户名和口令，看其是否与系统中存储的该用户的用户名和口令一致，来判断用户身份是否正确，对于采用指纹等系统，则出示指纹，对于硬件key等刷卡系统，则需要刷卡。

2.授权

即访问控制，控制设能访问哪些资源。主体进行身份认证后需要分配权限方可访问系统的资源，对于某资源没有权限是无法访问的

---

总结