什么是Shiro安全框架 Shiro安全框架的工作流程

身份认证（Authentication）：即用户登录，确认用户是谁的问题。

授权（Authorization）：即访问控制，决定某个已认证的用户是否有权限进行某个操作。

会话管理（SessionManager）：在用户登录后创建会话，并在用户注销时销毁会话。

加密（Cryptography）：对数据进行加密与解密，保护数据的安全性。

SecurityManager：安全管理器，是Shiro架构的核心，负责协调各个模块之间的交互。

Subject：即“当前用户”，每个Subject都绑定到一个SecurityManager上，确保所有操作可以通过一个Subject实例来完成。

Realm：用于进行身份认证和授权的组件，通过从Realm中获取用户信息并进行验证。

SessionManager：会话管理器，管理用户的登录状态。

提交登录请求：用户通过表单提交用户名和密码的登录请求。

创建Subject实例：Shiro创建一个Subject实例，这个Subject代表当前用户。

绑定到SecurityManager：将Subject实例绑定到SecurityManager，以便于后续的所有操作都通过这个Subject完成。

支持记忆功能：如果开启RememberMe功能，Shiro会生成一个RememberMeCookie并在客户端保存下来。

执行登录：调用Subject的login方法，传入Token参数（通常为UsernamePasswordToken），开始执行登录过程。

认证过程：
Shiro根据指定的Realms进行身份认证，Realm会查询用户信息并验证提交的用户名和密码。
如果验证通过，返回认证信息；否则，抛出异常。

创建会话：如果用户认证成功，Shiro会创建一个会话，并将会话ID写入Cookie。

响应结果：根据登录是否成功，向用户返回相应的提示信息。

认证过程：当请求需要身份验证时，Shiro从SecurityContext中获取当前的Subject并检查其身份是否已经认证过，如果未认证则会重定向至登录页面。

授权过程：在用户已经认证的基础上，Shiro会根据配置好的Realm进行授权检查，判断该用户是否有足够的权限访问请求的资源或进行操作。如果权限校验未通过，则拒绝访问并返回错误信息。

首次登录时生成Cookie：用户首次登录成功后，Shiro生成一个RememberMeCookie并将其发送给浏览器保存。

下次访问携带Cookie：用户在下次访问时，浏览器会自动携带这个Cookie。

服务器验证Cookie：Shiro从请求中读取这个Cookie，然后交给对应的Realm进行验证。

自动登录：如果Cookie验证通过，Shiro会自动调用subject.login方法，无需用户手动输入用户名和密码。