shiro整合spring学习，总结！

之前一直 在使用shiro，都没总结，现在抽点时间总结下吧。关于shiro的 基本知识介绍就不说了可以百度一大堆。

首先，我们从外部来看Shiro吧，即从应用程序角度的来观察如何使用Shiro完成工作。如下图：


 

可以看到：应用代码直接交互的对象是Subject，也就是说Shiro的对外API核心就是Subject；其每个API的含义：

Subject：主体，代表了当前“用户”，这个用户不一定是一个具体的人，与当前应用交互的任何东西都是Subject，如网络爬虫，机器人等；即一个抽象概念；所有Subject都绑定到SecurityManager，与Subject的所有交互都会委托给SecurityManager；可以把Subject认为是一个门面；SecurityManager才是实际的执行者；

SecurityManager：安全管理器；即所有与安全有关的操作都会与SecurityManager交互；且它管理着所有Subject；可以看出它是Shiro的核心，它负责与后边介绍的其他组件进行交互，如果学习过SpringMVC，你可以把它看成DispatcherServlet前端控制器；

Realm：域，Shiro从从Realm获取安全数据（如用户、角色、权限），就是说SecurityManager要验证用户身份，那么它需要从Realm获取相应的用户进行比较以确定用户身份是否合法；也需要从Realm得到用户相应的角色/权限进行验证用户是否能进行操作；可以把Realm看成DataSource，即安全数据源。

下面吧一些常用的shiro配置看下。

<!-- 安全管理器 -->
<bean id="securityManager" class="org.apache.shiro.web.mgt.DefaultWebSecurityManager">
<!-- 数据库认证的实现 -->
<property name="realm" ref="userRealm" />
<!-- Session管理器 -->
<property name="sessionManager" ref="sessionManager" />
</bean>

<bean id="shiroFilter" class="org.apache.shiro.spring.web.ShiroFilterFactoryBean">
<property name="securityManager" ref="securityManager" />

<!-- 设定角色的登录链接  -->
<property name="loginUrl" value="/admin/login" />
<!-- 登录成功后要跳转的连接处理逻辑在Controller里硬编码) -->

        <!-- <property name="successUrl" value="/" ></property> -->
<property name="unauthorizedUrl" value="/error/unauthorized"/>
<property name="filters">
<map>
<entry key="authc" value-ref="formAuthenticationFilter"></entry>
</map>
</property>
<property name="filterChainDefinitions">
<value>
<!-- 
anon  不需要认证
authc 需要认证
user  验证通过或RememberMe登录的都可以
-->
<!--登陆链接允许访问-->
/admin/login=anon
<!--静态资源允许访问-->
/public/**=anon
<!--admin开头的所有链接需要授权-->
/admin/**=user
<!--前台页面允许访问-->
/**=anon
</value>
</property>
</bean>