shiro-认证

　　认证最常见的形式及用户名密码登录。

一、 认证流程：

　　1. 首先调用Subject.login(AuthenticationToken)进行登录，其会自动委托给SecutityManager;

　　2.org.apache.shiro.mgt.SecurityManager（安全管理员）负责真正的身份验证逻辑，它会委托Authenticator进行身份验证；

　　3.Authenticator才是真正的身份验证者，Shiro API中核心的身份认证入口点，此处可以自定义插入自己的实现；

　　4.Authenticator可能会委托给相应的AuthenticationStategy进行多Realm身份验证，默认ModularRealmAuthorizer会调用AuthenticationStategy进行多个Realm身份验证；

　　5.Authenticator会把相应的token传入Realm，从Realm获取身份验证信息，如果没有返回/抛出异常，表示身份验证失败；此处可以配置多个Realm，将按照相应的顺序以策略进行访问；

　　　　　　// 获取当前的 Subject. 调用 SecurityUtils.getSubject();
　　　　　　Subject currentUser = SecurityUtils.getSubject();

　　　　 // 测试当前的用户是否已经被认证. 即是否已经登录. 
        // 调动 Subject 的 isAuthenticated() 
        if (!currentUser.isAuthenticated()) {
            // 把用户名和密码封装为 UsernamePasswordToken 对象
            UsernamePasswordToken token = new UsernamePasswordToken("lonestarr", "vespa");
            // rememberme(记住我)
            token.setRememberMe(true);
            try {
                // 执行登录. 
                currentUser.login(token);
            } 
            // 若没有指定的账户, 则 shiro 将会抛出 UnknownAccountException 异常. 
            catch (UnknownAccountException uae) {
                log.info("----> There is no user with username of " + token.getPrincipal());
                return; 
            } 
            // 若账户存在, 但密码不匹配, 则 shiro 会抛出 IncorrectCredentialsException 异常。 
            catch (IncorrectCredentialsException ice) {
                log.info("----> Password for account " + token.getPrincipal() + " was incorrect!");
                return; 
            } 
            // 用户被锁定的异常 LockedAccountException
            catch (LockedAccountException lae) {
                log.info("The account for username " + token.getPrincipal() + " is locked.  " +
                        "Please contact your administrator to unlock it.");
            }// 所有认证时异常的父类. 
            catch (AuthenticationException ae) {
                //unexpected condition?  error?
            }
        }

二、认证异常：

　　1. org.apache.shiro.authc.AuthenticationException ：认证异常

　　　　|- org.apache.shiro.authc.UnknownAccountException：没有指定的账户异常

　　　　|- org.apache.shiro.authc.IncorrectCredentialsException ：不正确的密码异常

　　　　|- org.apache.shiro.authc.LockedAccountException：账户锁定异常

 三、Realm：安全验证信息来源

　　1. org.apache.shiro.realm.Realm接口：　

　　Shiro从Realm获取安全数据（如：角色、用户、权限），即SecutityManager要验证用户身份，那么它需要从Realm获取相应的用户进行比较，确定是否合法；也需要从Realm得到用户相应的角色/权限进行验证用户是否可以进行操作；　　　

String getName();    //返回唯一的Realm名称
boolean supports(AuthenticationToken token);    //判断此 Realm是否支持Token
AuthenticationInfo getAuthenticationInfo(AuthenticationToken token) throws AuthenticationException; //根据Token获取认证信息 

　　2. org.apache.shiro.realm.AuthorizingRealm实现类：授权Realm

　　　　一般基层AuthorizingRealm（授权）即可；其继承了AuthenticatingRealm（身份验证），而且也间接继承了CachingRealm（带缓存实现）；

四、验证器：进行验证

　　1. org.apache.shiro.authc.Authenticator接口：验证器

　　　　》单个Realm验证：Authenticator的职责是验证用户账号，是Shiro API中身份验证核心的入口点：如果验证成功，则返回“org.apache.shiro.authc.AuthenticationInfo”验证信息，此信息中包含了身份及凭证；如果验证失败则抛出AuthenticationException认证异常。

　　　　》多个Realm验证：org.apache.shiro.mgt.SecurityManager接口继承了Authenticator接口，另外还有一个“org.apache.shiro.authc.pam.ModularRealmAuthenticator”实现，其委托多个Realm进行验证，验证规则通过AuthenticationStrategy接口指定。

//Authenticator方法
public AuthenticationInfo authenticate(AuthenticationToken authenticationToken) throws AuthenticationException;　　//进行验证

　　2. org.apache.shiro.authc.AuthenticationInfo接口：身份验证信息

public Object getCredentials();                //获取凭据
public PrincipalCollection getPrincipals();    //获取相关的主体

五、token：令牌，用户提交的信息

　　1. org.apache.shiro.authc.AuthenticationToken接口：用于收集用户提交的身份（如用户名）及凭据（如密码）

public Object getPrincipal();          //获取用户名
public Object getCredentials();        //获取认证信息（密码），返回字符数组

　　　　|- org.apache.shiro.authc.UsernamePasswordToken实现类：用户名和密码令牌

public String getUsername();                    //获取用户名
public char[] getPassword();                    //获取密码
public void setRememberMe(boolean rememberMe)；    //记住我
public boolean isRememberMe()；                    //获取记住我

 

六、Subject：主题，用户的行为

　　org.apache.shiro.subject.Subject：代表着用户，用户所拥有的行为包括：登录、退出、校验权限、获得Session等，符合面向对象，任何与系统交互的行为都可以由Subject完成。

SecurityUtils.getSubject(); 　　　　　　　　　　　　　　//获取当前正在执行的subject
//认证方法
public Object getPrincipal();                     //获取登录id，如果没有则返回null(尚未登录)
public Session getSession();                      //获取Session
public Session getSession(boolean create);        //创建Sessoion
public boolean isAuthenticated();                 //是否通过认证
public boolean isRemembered();                    //是否使用记住我
public void login(AuthenticationToken token) throws AuthenticationException;    //登录
public void logout();                                  //注销