Java中security与shiro的区别详解
作者：谁是黄黄
一、Shiro与spring security 比较 shiro
1.框架原理图及名词解释
名词解释
- **subject：**主体，可以是用户也可以是程序，主体要访问系统，系统需要对主体进行认证、授权。
- securityManager：安全管理器，主体进行认证和授权都是通过securityManager进行。它包含下面的认证器和授权器。
- authenticator：认证器，主体进行认证最终通过authenticator进行的。
- authorizer：授权器，主体进行授权最终通过authorizer进行的。
- sessionManager：web应用中一般是用web容器对session进行管理，shiro也提供一套session管理的方式。可以实现单点登录。
- SessionDao：通过SessionDao管理session数据，针对个性化的session数据存储需要使用sessionDao。
- cache Manager：缓存管理器，主要对session和授权数据进行缓存，比如将授权数据通过cacheManager进行缓存管理，和ehcache整合对缓存数据进行管理。
- realm：域，领域，相当于数据源，通过realm存取认证、授权相关数据。（它的主要目的是与数据库打交道，查询数据库中的认证的信息（比如用户名和密码），查询授权的信息（比如权限的code等，所以这里可以理解为调用数据库查询一系列的信息，一般情况下在项目中采用自定义的realm，因为不同的业务需求不一样））
注意：在realm中存储授权和认证的逻辑。
- **cryptography：**密码管理，提供了一套加密/解密的组件，方便开发。比如提供常用的散列、加/解密等功能，比如md5散列算法。
认证原理图
subject(主体)请求认证，调用subject.login(token)
SecurityManager(安全管理器)执行认证
SecurityManager通过ModularRealmAuthenticator进行认证。
ModularRealmAuthenticator将token传给realm，realm根据token中用户信息从数据库查询用户信息（包括身份和凭证），realm如果查询不到用户给ModularRealmAuthenticator返回null，ModularRealmAuthenticator抛出异常（用户不存在），realm如果查询到用户给ModularRealmAuthenticator返回AuthenticationInfo(认证信息)，ModularRealmAuthenticator拿着AuthenticationInfo(认证信息)去进行凭证（密码）比对。如果一致则认证通过，如果不致抛出异常（凭证错误）。
授权原理图
授权流程
对subject进行授权，调用方法isPermitted(“”)或者hasRole(“”)
SecurityManager执行授权，通过ModularRealmAuthorizer执行授权
ModularRealmAuthorizer执行realm（自定义的CustomRealm）从数据库查询权限数据调用realm的授权方法：doGetAuthorizationInfo
realm从数据库查询权限数据，返回ModularRealmAuthorizer
ModularRealmAuthorizer调用PermissionResolver进行权限串比对
如果比对后，isPermitted中"permission串"在realm查询到权限数据中，说明用户访问permission串有权限，否则没有权限，抛出异常。
二、Spring Security简介
Spring Security是一个能够为基于Spring的企业应用系统提供声明式的安全访问控制解决方案的安全框架。它提供了一组可以在Spring应用上下文中配置的Bean，充分利用了Spring IoC，DI（控制反转Inversion of Control ,DI:Dependency Injection 依赖注入）和AOP（面向切面编程）功能，为应用系统提供声明式的安全访问控制功能，减少了为企业系统安全控制编写大量重复代码的工作。它是一个轻量级的安全框架，它确保基于Spring的应用程序提供身份验证和授权支持。它与Spring MVC有很好地集成，并配备了流行的安全算法实现捆绑在一起。安全主要包括两个操作“认证”与“验证”（有时候也会叫做权限控制）。“认证”是为用户建立一个其声明的角色的过程，这个角色可以一个用户、一个设备或者一个系统。“验证”指的是一个用户在你的应用中能够执行某个操作。在到达授权判断之前，角色已经在身份认证过程中建立了。
它的设计是基于框架内大范围的依赖的，可以被划分为以下几块。
核心组件
1.SecurityContextHolder
SecurityContextHolder它持有的是安全上下文（security context）的信息。当前操作的用户是谁，该用户是否已经被认证，他拥有哪些角色权等等，这些都被保存在SecurityContextHolder中。SecurityContextHolder默认使用ThreadLocal 策略来存储认证信息。看到ThreadLocal 也就意味着，这是一种与线程绑定的策略。在web环境下，Spring Security在用户登录时自动绑定认证信息到当前线程，在用户退出时，自动清除当前线程的认证信息。
2.SecurityContext
安全上下文，主要持有Authentication对象，如果用户未鉴权，那Authentication对象将会是空的。该示例可以通过SecurityContextHolder.getContext静态方法获取。
3.Authentication
鉴权对象，该对象主要包含了用户的详细信息（UserDetails）和用户鉴权时所需要的信息，如用户提交的用户名密码、Remember-me Token，或者digest hash值等，按不同鉴权方式使用不同的Authentication实现。
Authentication是spring security包中的接口，直接继承自Principal类，而Principal是位于java.security包中的。可以见得，Authentication在spring security中是最高级别的身份/认证的抽象。由这个顶级接口，我们可以得到用户拥有的权限信息列表，密码，用户细节信息，用户身份信息，认证信息。
4.GrantedAuthority
该接口表示了当前用户所拥有的权限（或者角色）信息。这些信息有授权负责对象AccessDecisionManager来使用，并决定最终用户是否可以访问某资源（URL或方法调用或域对象）。鉴权时并不会使用到该对象。
5.UserDetails
这个接口规范了用户详细信息所拥有的字段，譬如用户名、密码、账号是否过期、是否锁定等。在Spring Security中，获取当前登录的用户的信息,一般情况是需要在这个接口上面进行扩展，用来对接自己系统的用户
6.UserDetailsService
这个接口只提供一个接口loadUserByUsername(String username)，这个接口非常重要，一般情况我们都是通过扩展这个接口来显示获取我们的用户信息，用户登录时传递的用户名和密码也是通过这里这查找出来的用户名和密码进行校验，但是真正的校验不在这里，而是由AuthenticationManager以及AuthenticationProvider负责的，需要强调的是，如果用户不存在，不应返回NULL，而要抛出异常UsernameNotFoundException
7.AuthenticationManager
AuthenticationManager（接口）是认证相关的核心接口，也是发起认证的出发点，因为在实际需求中，我们可能会允许用户使用用户名+密码登录，同时允许用户使用邮箱+密码，手机号码+密码登录，甚至，可能允许用户使用指纹登录（还有这样的操作？没想到吧），所以说AuthenticationManager一般不直接认证，AuthenticationManager接口的常用实现类ProviderManager 内部会维护一个List列表，存放多种认证方式，实际上这是委托者模式的应用（Delegate）。也就是说，核心的认证入口始终只有一个：AuthenticationManager，不同的认证方式：用户名+密码（UsernamePasswordAuthenticationToken），邮箱+密码，手机号码+密码登录则对应了三个AuthenticationProvider。其中有一个重要的实现类是ProviderManager
8、DaoAuthenticationProvider
AuthenticationProvider最最最常用的一个实现便是DaoAuthenticationProvider。顾名思义，Dao正是数据访问层的缩写，也暗示了这个身份认证器的实现思路。主要作用：它获取用户提交的用户名和密码，比对其正确性，如果正确，返回一个数据库中的用户信息（假设用户信息被保存在数据库中）。
三、比较一下shiro与SpringSecurity
Shiro 的优点：
首先Shiro较之 Spring Security，Shiro在保持强大功能的同时，还在简单性和灵活性方面拥有巨大优势。
Shiro是一个强大而灵活的开源安全框架，能够非常清晰的处理认证、授权、管理会话以及密码加密。如下是它所具有的特点：
- 易于理解的 Java Security API；
- 简单的身份认证（登录），支持多种数据源（LDAP，JDBC，Kerberos，ActiveDirectory 等）；
- 对角色的简单的签权（访问控制），支持细粒度的签权；
- 支持一级缓存，以提升应用程序的性能；
- 内置的基于 POJO 企业会话管理，适用于 Web 以及非 Web 的环境；
- 异构客户端会话访问；
- 非常简单的加密 API；
- 不跟任何的框架或者容器捆绑，可以独立运行。
- Shiro则是一个轻量级的安全管理框架，Shiro概念简单、配置简单，Shiro功能简单， Shiro 比 Spring security 更容易使用，实现和最深入的理解
- Apache Shiro在Spring Security处理密码学方面有一个额外的模块
- Shiro 是Apache 下的项目比较可靠，且不跟任何的框架或者容器绑定，可以独立于任何项目运行
- 从使用情况上看，二者都在逐步提高使用量。shiro的使用量一直高于spring security. shiro可以用于非web环境，不跟任何框架或容器绑定，独立运行shiro入门更加容易，使用起来也非常简单，这也是造成shiro的使用量一直高于Spring Security的主要原因
spring security 优点
Spring Security是一个重量级的安全管理框架，Spring Security更加知名的唯一原因是因为品牌名称， Spring Security功能强大，Spring Security有更好的社区支持
由于Spring Boot官方提供了大量的非常方便的开箱即用的 Starter，包括 Spring Security 的 Starter，使得在SpringBoot 中使用 Spring Security 变得更加容易，甚至只需要添加一个依赖 就可以保护所有接口，所以如果是SpringBoot项目，一般选择Spring Security。当然这只是 一个建议的组合，单纯从技术上来说，无论怎么组合，都是没有问题的。在没有Spring Boot之前，Spring Security的大部分配置要通过XML实现，配置还是还是非常复杂的。但是有了 Spring Boot之后，这一情况已经得到显著改善。
Spring Security之所以看上去比shiro更复杂，其实是因为它引入了一些不常用的概念与规则。大家应该都知道2/8法则，这在Spring Security里面体现的特别明显，如果你只学Spring Security最重要的那20%，这20%的复杂度和shiro基本是一致的。也就是说，不重要的那80%，恰恰是Spring Security比shiro的“复杂度”。
也就是说，你把Spring Security最重要的那20%熟练掌握，二者的入门门槛、复杂度其实是差不太多的。
Spring Security依托于Spring庞大的社区支持，这点自不必多说。shiro属于apache社区，因为它的广泛使用，文档也非常的全面。二者从社区支持来看，几乎不相上下。
但是从社区发展的角度看，Spring Security明显更占优势，随着Spring Cloud、Spring Boot、Spring Social的长足进步，这种优势会越来越大。因为Spring Security毕竟是Spring的亲儿子，Spring Security未来在于Spring系列框架集成的时候一定会有更好的融合性，前瞻性、兼容性！这也是为什么我们要学Spring Security的主要原因！
Spring Security因为它的复杂，所以从功能的丰富性的角度更胜一筹。其中比较典型的如：
Spring Security 默认含有对OAuth2.0的支持，与Spring Social一起使用完成社交媒体登录也比较方便，shiro 则需要自己手动实现，而且 spring security 的权限细粒度更高，除了不能脱离Spring，shiro的功能它都有。而且Spring Security对OpenID也有支持,Shiro则需要自己手动写代码实现。
Spring Security是一个功能强大且高度可定制的身份验证和访问控制框架。它是用于保护基于Spring的应用程序的实际标准。Spring Security致力于为Java应用程序提供身份验证和授权。与所有Spring项目一样，Spring Security的真正强大之处在于可以轻松扩展以满足自定义要求
Spring Security在网络安全的方面下的功夫更多，如 会话固定攻击 和 CSRF 攻击 等等，spring security 做了大量防御机制，这是shiro所不具备的。
四、总结
目前在java web应用安全框架中，使用Apache Shiro的人较多，因为它相当简单，对比Spring Security，可能没有Spring Security做的功能强大，但是在实际工作时可能并不需要那么复杂的东西，所以使用小而简单的Shiro就足够了。对于它俩到底哪个好，这个不必纠结，能更简单的解决项目问题就好了。
与shiro形成直接竞争的就是spring Security，二者在核心功能上几乎差不多，但从使用的角度各有优缺点。
我认为：没有最好的，只有最合适的。
ing Security，可能没有Spring Security做的功能强大，但是在实际工作时可能并不需要那么复杂的东西，所以使用小而简单的Shiro就足够了。
对于它俩到底哪个好，这个不必纠结，能更简单的解决项目问题就好了。
与shiro形成直接竞争的就是spring Security，二者在核心功能上几乎差不多，但从使用的角度各有优缺点。
我认为：没有最好的，只有最合适的。
如果你只是想实现一个简单的web应用，shiro更加的轻量级，学习成本也更低。
如果您正在开发一个分布式的、微服务的、或者与Spring Cloud系列框架深度集成的项目，还是建议您使用Spring Security。
到此这篇关于Java中security与shiro的区别详解的文章就介绍到这了,更多相关security与shiro的区别内容请搜索脚本之家以前的文章或继续浏览下面的相关文章希望大家以后多多支持脚本之家！