一、shiro简介
Apache Shiro是Java的一个安全框架。Shiro可以非常容易的开发出足够好的应用，其不仅可以用在JavaSE环境，也可以用在JavaEE环境。Shiro可以帮助我们完成：认证、授权、加密、会话管理、与Web集成、缓存等
Authentication：身份认证/登录，验证用户是不是拥有相应的身份；
Authorization：授权，即权限验证，验证某个已认证的用户是否拥有某个权限；即判断用户是否能做事情，常见的如：验证某个用户是否拥有某个角色。或者细粒度的验证某个用户对某个资源是否具有某个权限；
Session Manager：会话管理，即用户登录后就是一次会话，在没有退出之前，它的所有信息都在会话中；会话可以是普通JavaSE环境的，也可以是如Web环境的；
Cryptography：加密，保护数据的安全性，如密码加密存储到数据库，而不是明文存储；
Web Support：Web支持，可以非常容易的集成到Web环境；
Caching：缓存，比如用户登录后，其用户信息、拥有的角色/权限不必每次去查，这样可以提高效率；
Concurrency：shiro支持多线程应用的并发验证，即如在一个线程中开启另一个线程，能把权限自动传播过去；
Testing：提供测试支持；
Run As：允许一个用户假装为另一个用户(如果他们允许)的身份进行访问；
Remember Me：记住我，这个是非常常见的功能，即一次登录后，下次再来的话不用登录了。
二、shiro是如何工作的？
Subject：主体，代表了当前“用户”，这个用户不一定是一个具体的人，与当前应用交互的任何东西都是Subject，如网络爬虫，机器人等；即一个抽象概念；所有Subject都绑定到SecurityManager，与Subject的所有交互都会委托给SecurityManager；可以把Subject认为是一个门面；SecurityManager才是实际的执行者；
SecurityManager：安全管理器；即所有与安全有关的操作都会与SecurityManager交互；且它管理着所有Subject；可以看出它是Shiro的核心，它负责与后边介绍的其他组件进行交互，如果学习过SpringMVC，你可以把它看成DispatcherServlet前端控制器；
Realm：域，Shiro从从Realm获取安全数据(如用户、角色、权限)，就是说SecurityManager要验证用户身份，那么它需要从Realm获取相应的用户进行比较以确定用户身份是否合法；也需要从Realm得到用户相应的角色/权限进行验证用户是否能进行操作；可以把Realm看成DataSource，即安全数据源。
二、创建maven的web工程，引入shiro依赖
4.0.0
com.shyroke.www
firstShiro
war
0.0.1-SNAPSHOT
firstShiro Maven Webapp
http://maven.apache.org
1.3.2
javax.servlet
servlet-api
2.5
provided
org.slf4j
slf4j-api
1.7.21
org.slf4j
jcl-over-slf4j
1.7.21
runtime
ch.qos.logback
logback-classic
1.1.7
runtime
org.apache.shiro
shiro-core
${shiro.version}
org.apache.shiro
shiro-web
${shiro.version}
firstShiro三、web.xml中配置shiro监听器
/index.jsp
org.apache.shiro.web.env.EnvironmentLoaderListener
ShiroFilter
org.apache.shiro.web.servlet.ShiroFilter
ShiroFilter
/*
REQUEST
FORWARD
INCLUDE
ERROR
LoginServlet
LoginServlet
servlet.LoginServlet
LoginServlet
/login四、创建shiro配置文件shiro.ini
shiro默认配置文件名为shiro.ini且位于WEB-INFO目录下
[main]
authc.loginUrl = /login
[users]
admin=123
user1=456
[urls]
/admin/** = authc
/index.jsp = authc
/=authc
/login.jsp = anon
[users]下注册的是用户名和密码用等号隔开。
/admin/** = authc和 /index.jsp = authc 表示在admin目录下的资源和index.jsp被访问时都需要验证(用户名和密码)
/=authc 和 /login.jsp = anon 表示访问url为“/”的路径和/login.jsp不需要验证即可访问，/=authc 一定要加，因为“/”路径默认访问index.jsp，这样/login.jsp = anon 没有效果了。
五、创建登录页面
login.jsp
Insert title here
${emsg}
username:
password:
六、编写LoginServlet
packageservlet;importjava.io.IOException;importjavax.servlet.ServletException;importjavax.servlet.http.HttpServlet;importjavax.servlet.http.HttpServletRequest;importjavax.servlet.http.HttpServletResponse;importorg.apache.shiro.SecurityUtils;importorg.apache.shiro.authc.AuthenticationException;importorg.apache.shiro.authc.IncorrectCredentialsException;importorg.apache.shiro.authc.UnknownAccountException;importorg.apache.shiro.authc.UsernamePasswordToken;importorg.apache.shiro.subject.Subject;/*** Servlet implementation class LoginServlet*/
public class LoginServlet extendsHttpServlet {private static final long serialVersionUID = 1L;/***@seeHttpServlet#doGet(HttpServletRequest request, HttpServletResponse
* response)*/
protected voiddoGet(HttpServletRequest request, HttpServletResponse response)throwsServletException, IOException {
request.getRequestDispatcher("/commons/login.jsp").forward(request, response);
}/***@seeHttpServlet#doPost(HttpServletRequest request, HttpServletResponse
* response)*/
protected voiddoPost(HttpServletRequest request, HttpServletResponse response)throwsServletException, IOException {
String userName= request.getParameter("username");
String passWord= request.getParameter("password");
Subject subject=SecurityUtils.getSubject();
UsernamePasswordToken token= newUsernamePasswordToken(userName, passWord);
String emsg= null;try{
subject.login(token);
}catch(UnknownAccountException e) {
emsg= "用户名错误";
}catch(IncorrectCredentialsException e) {
emsg= "密码错误";
}catch(AuthenticationException e) {
emsg= "其他异常=" +e.getMessage();
}if (emsg != null) {//说明有异常
request.setAttribute("emsg", emsg);
request.getRequestDispatcher("/commons/login.jsp").forward(request, response);
}else{
request.getRequestDispatcher("/index.jsp").forward(request, response);
}}
}七、目录结构
八、结果
二、角色管理
配置和java代码跟上例一，shiro.ini修改为
[main]
authc.loginUrl= /login
[users]
admin=123,admin
user1=456,user
zs=159[roles]
admin=admin:*,users:*user=users:*[urls]/admin/**= authc,roles[admin]
/users/list.jsp=authc,perms[users:list]
/users/**=authc
/index.jsp = authc
/login.jsp = anon
/=authc
/logout=logout
admin=admin:*,users:* ： admin角色有admin和users中所有权限
/admin/**= authc,roles[admin] ：左边等号表示admin目录下所有资源，右边等号指需要登陆验证且拥有admin角色
/users/list.jsp=authc,perms[users:list] ：右边等号指需要登陆验证且拥有users：list权限目录结构
结果：
登陆后的admin用户可以访问admin目录和users目录中所有页面
登陆后的user1用户可以访问users目录中的所有页面
登陆后的zs用户可以访问users中的add.jsp 但是不能访问list.jsp 因为没有赋给zs用户users:list权限
