shiro

权限管理

什么是？

　　只要有用户参与的系统一般都要有权限管理，权限管理实现对用户访问系统的控制，按照安全规则或者安全策略控制用户可以访问而且只能访问自己被授权的资源。权限管理包括用户认证和授权两部分。

用户认证　

    关键对象

　　subject：主体，理解为用户,可能是程序，都要去访问系统的资源，系统需要对subject进行身份认证。

　　principal：身份信息，通常是唯一的，一个主体还有多个身份信息，但是都有一个主身份信息（primary principal）

　　credential：凭证信息，可以是密码 、证书、指纹。

 用户授权

   关键对象

　　who：主体即subject，subject在认证通过后系统进行访问控制。

　　what(which)：资源(Resource)，subject必须具备资源的访问权限才可访问该 资源。资源比如：系统用户列表页面、商品修改菜单、商品id为001的商品信息。

　　资源分为资源类型和资源实例：

　　系统的用户信息就是资源类型，相当于java类。

　　系统中id为001的用户就是资源实例，相当于new的java对象。

　　how：权限/许可(permission) ，针对资源的权限或许可，subject具有permission访问资源，如何访问/操作需要定义permission，权限比如：用户添加、用户修改、商品删除。