正如你看到的，這個(gè)配置基本建立一套小的靜態(tài)用戶(hù)帳戶(hù),對(duì)于我們的第一個(gè)程序來(lái)說(shuō)，已經(jīng)足夠了．在后面的章節(jié)中，你會(huì)看到如何使用更復(fù)雜的用戶(hù)數(shù)據(jù)資源，如關(guān)系數(shù)據(jù)庫(kù)，LDAP的ActiveDirectory等等．

現(xiàn)在我們已經(jīng)定義了一個(gè)INI文件, 然后我們就可在Tutorial類(lèi)中創(chuàng)建SecurityManager實(shí)例了. 修改main方法，以反映下面的更新：

public static void main(String[] args) {
log.info("My First Apache Shiro Application");
//1.
Factory<SecurityManager> factory = new IniSecurityManagerFactory("classpath:shiro.ini");
//2.
SecurityManager securityManager = factory.getInstance();
//3.
SecurityUtils.setSecurityManager(securityManager);
System.exit(0);
}

在添加了３行代碼后，我們就在樣例程序中啟用了Shiro!是不是很簡(jiǎn)單?

運(yùn)行 mvn compile exec:java能看到一切都能成功運(yùn)行(因?yàn)镾hiro默認(rèn)為debug或更低級(jí)別，你不會(huì)看到任何Shiro日志消息－如果啟動(dòng)或運(yùn)行時(shí)不出現(xiàn)錯(cuò)誤，那么一切就工作得很好）．

以下是上面增加代碼所做的事情:

現(xiàn)在我們建立好了SecurityManager，可以準(zhǔn)備使用了, 現(xiàn)在讓我們做一些我們真正關(guān)心的東西 - 執(zhí)行安全操作.

當(dāng)為我們的應(yīng)用程序提供安全時(shí)，我們通常問(wèn)自己最相關(guān)的問(wèn)題是＂當(dāng)前用戶(hù)是誰(shuí)?”或“是否允許當(dāng)前用戶(hù)做某些事情”? 這是經(jīng)常會(huì)問(wèn)的問(wèn)題，因此我們會(huì)編寫(xiě)代碼并設(shè)計(jì)我們的接口:

應(yīng)用程序通常會(huì)基于用戶(hù)存儲(chǔ)進(jìn)行構(gòu)建, 并且你希望每個(gè)用戶(hù)都是安全的. 因此，對(duì)于我們來(lái)說(shuō)，最自然的方式是認(rèn)為應(yīng)用程序的安全是基于當(dāng)前用戶(hù)的. Shiro的 API從根本上使用了Subject概念來(lái)表達(dá)當(dāng)前用戶(hù)．

在幾乎所有環(huán)境中，你可以通過(guò)下面的調(diào)用來(lái)獲取當(dāng)前執(zhí)行用戶(hù):

使用SecurityUtils.getSubject(), 我們能獲取當(dāng)前執(zhí)行的Subject. Subject是一種安全術(shù)語(yǔ)，其基本意義為"當(dāng)前執(zhí)行用戶(hù)的特定安全視圖". 它不稱(chēng)為'User'，因?yàn)?'User' 這個(gè)詞通常與人類(lèi)聯(lián)系在一起.

在安全世界中，術(shù)語(yǔ)'Subject'可以表示人類(lèi)，但也可以表示第三過(guò)程, cron job, 后臺(tái)帳戶(hù),或任何相似的東西.它簡(jiǎn)單地表示為當(dāng)前與軟件交互的事物.

雖然這只是針對(duì)大多數(shù)的意圖和目的，你仍然可將Subject認(rèn)為是Shiro的'User＇.

在一個(gè)獨(dú)立的應(yīng)用程序中，getSubject()方法會(huì)返回在應(yīng)用特定位置用戶(hù)數(shù)據(jù)的基礎(chǔ)上返回一個(gè)Subject,在服務(wù)器環(huán)境中(如. web app),它會(huì)基于當(dāng)前線程或傳入請(qǐng)求相關(guān)的用戶(hù)數(shù)據(jù)中來(lái)獲取Subject．

現(xiàn)在你有了Subject,你能用它來(lái)做什么呢?

如果你想在應(yīng)用程序其會(huì)話期間對(duì)當(dāng)前用戶(hù)做些什么，你可以獲取它們的會(huì)話：

Session是Shiro特有的實(shí)例，它提供了類(lèi)似常規(guī)HttpSessions大部分的功能，但也存在額外的東西以及一個(gè)重大區(qū)別:它不需要HTTP環(huán)境!

如果部署在web應(yīng)用程序中,默認(rèn)情況下，Session是基于HttpSession的. 但在非web環(huán)境中，就像這個(gè)簡(jiǎn)單的tutorial程序, Shiro會(huì)默認(rèn)自動(dòng)使用其企業(yè)級(jí)會(huì)話管理.

所以現(xiàn)在你可以獲取Subject及其會(huì)話了.像檢查它們是否允許做某些事情以及檢查其角色與權(quán)限這樣真正有用的事情又怎樣呢？

我們只能為一個(gè)已知的用戶(hù)做這些檢查。上面的Subject實(shí)例只能代表當(dāng)前用戶(hù),但當(dāng)前用戶(hù)是誰(shuí)呢? 這里，它們是匿名的- 也就是說(shuō)，除非它們至少登錄了一次，才知道是已知的. 因此, 讓我們按下面這樣做:

if ( !currentUser.isAuthenticated() ) {
//collect user principals and credentials in a gui specific manner
//such as username/password html form, X509 certificate, OpenID, etc.
//We'll use the username/password example here since it is the most common.
UsernamePasswordToken token = new UsernamePasswordToken("lonestarr", "vespa");
//this is all you have to do to support 'remember me' (no config - built in!):
token.setRememberMe(true);
currentUser.login(token);
}

這就是它了!不能再容易了.

但如果登錄失敗了呢? 你可以捕獲各種各樣的異常，這些異常將明確地告訴你發(fā)生了什么，并允許你進(jìn)行相應(yīng)地處理:

你可以捕獲多種不同類(lèi)型的異常,或者拋出Shiro未出現(xiàn)的自定義異常.參考AuthenticationException JavaDoc 來(lái)了解更多.

Ok, 到現(xiàn)在為止，我們有了一個(gè)登錄用戶(hù).還有什么事情可以做呢？

讓我們看看它是誰(shuí):

//print their identifying principal (in this case, a username):
log.info( "User [" + currentUser.getPrincipal() + "] logged in successfully." );

我們也可以測(cè)試它是否有指定的角色:

我們還可以測(cè)試它是否有某種類(lèi)型實(shí)體上的權(quán)限:

非常簡(jiǎn)單，對(duì)嗎？

最后，當(dāng)用戶(hù)在程序程序中完成了使用,它們可以登出:

在添加了上述代碼后，以下是最終的Tutorial類(lèi)文件.只要你喜歡，你可以隨意編輯，并修改安全檢查（和INI配置）來(lái)玩它：

import org.apache.shiro.SecurityUtils;
import org.apache.shiro.authc.*;
import org.apache.shiro.config.IniSecurityManagerFactory;
import org.apache.shiro.mgt.SecurityManager;
import org.apache.shiro.session.Session;
import org.apache.shiro.subject.Subject;
import org.apache.shiro.util.Factory;
import org.slf4j.Logger;
import org.slf4j.LoggerFactory;
public class Tutorial {
private static final transient Logger log = LoggerFactory.getLogger(Tutorial.class);
public static void main(String[] args) {
log.info("My First Apache Shiro Application");
Factory<SecurityManager> factory = new IniSecurityManagerFactory("classpath:shiro.ini");
SecurityManager securityManager = factory.getInstance();
SecurityUtils.setSecurityManager(securityManager);
// get the currently executing user:
Subject currentUser = SecurityUtils.getSubject();
// Do some stuff with a Session (no need for a web or EJB container!!!)
Session session = currentUser.getSession();
session.setAttribute("someKey", "aValue");
String value = (String) session.getAttribute("someKey");
if (value.equals("aValue")) {
log.info("Retrieved the correct value! [" + value + "]");
}
// let's login the current user so we can check against roles and permissions:
if (!currentUser.isAuthenticated()) {
UsernamePasswordToken token = new UsernamePasswordToken("lonestarr", "vespa");
token.setRememberMe(true);
try {
currentUser.login(token);
} catch (UnknownAccountException uae) {
log.info("There is no user with username of " + token.getPrincipal()); }
catch (IncorrectCredentialsException ice) {
log.info("Password for account " + token.getPrincipal() + " was incorrect!");
} catch (LockedAccountException lae) {
log.info("The account for username " + token.getPrincipal() + " is locked. " + "Please contact your administrator to unlock it.");
}
// ... catch more exceptions here (maybe custom ones specific to your application?
catch (AuthenticationException ae) {
//unexpected condition? error?
}
}
//say who they are:
//print their identifying principal (in this case, a username):
log.info("User [" + currentUser.getPrincipal() + "] logged in successfully.");
//test a role:
if (currentUser.hasRole("schwartz")) {
log.info("May the Schwartz be with you!");
} else {
log.info("Hello, mere mortal.");
}
//test a typed permission (not instance-level)
if (currentUser.isPermitted("lightsaber:weild")) {
log.info("You may use a lightsaber ring. Use it wisely.");
} else {
log.info("Sorry, lightsaber rings are for schwartz masters only.");
}
//a (very powerful) Instance Level permission:
if (currentUser.isPermitted("winnebago:drive:eagle5")) {
log.info("You are permitted to 'drive' the winnebago with license plate (id) 'eagle5'. " + "Here are the keys - have fun!");
} else {
log.info("Sorry, you aren't allowed to drive the 'eagle5' winnebago!");
}
//all done - log out!
currentUser.logout();
System.exit(0);
}
}

希望這本入門(mén)教程幫助你了解如何在一個(gè)基本應(yīng)用中設(shè)置Shiro,以及Shiro的主要設(shè)計(jì)理念 Subject 和SecurityManager。

但這是一個(gè)相當(dāng)簡(jiǎn)單的應(yīng)用。你可能會(huì)問(wèn)自己，“如果我不想使用INI用戶(hù)帳戶(hù)而是要連接到一個(gè)更復(fù)雜的用戶(hù)數(shù)據(jù)源，又該怎么做呢？”

要回答這個(gè)問(wèn)題，需要深入一點(diǎn)了解Shiro的架構(gòu)和支持的配置機(jī)制。我們將下一個(gè)Shiro的Architecture 進(jìn)行講解.

Apache Shiro的設(shè)計(jì)目標(biāo)是通過(guò)直觀而簡(jiǎn)單的方式來(lái)簡(jiǎn)化應(yīng)用程序安全的開(kāi)發(fā). Shiro的核心設(shè)計(jì)模型－在一個(gè)上下文里與應(yīng)用程序進(jìn)行交互.

軟件應(yīng)用程序程序通常是基于用戶(hù)存儲(chǔ)來(lái)設(shè)計(jì)的. 也就是說(shuō)，你會(huì)經(jīng)常設(shè)計(jì)用戶(hù)如何與軟件進(jìn)行交互的接口或服務(wù).
例如，你可能會(huì)說(shuō), "如果用戶(hù)與應(yīng)用程序交互時(shí)已經(jīng)登錄了，我應(yīng)該向其展示一個(gè)按鈕，它們可以點(diǎn)擊來(lái)查看它們的帳戶(hù)信息.如果它們沒(méi)有登錄，我將向它們展示一個(gè)登錄按鈕."

此示例語(yǔ)句暗示了應(yīng)用程序在很大程度上是為了滿(mǎn)足用戶(hù)的需求而編寫(xiě)的。即使'用戶(hù)'是另一個(gè)軟件系統(tǒng)，而不是一個(gè)人，你仍然要編寫(xiě)代碼來(lái)反映誰(shuí)（或什么）目前正在與您的軟件交互。

在最高概念層面，Shiro的架構(gòu)包含了3個(gè)主要概念:Subject, SecurityManager 和 Realms. 下面的圖表是這些組件如何交互的高級(jí)概述，我們將覆蓋下面的每一個(gè)概念：