分布式平台下的HS（HighSecurity） Shiro 认证

认 证

　　认证是核实用户身份的过程。也就是说，当用户使用应用进行认证时，他们就在证明他们就是自己所说的那个人。有时这也理解为“登录”。它是一个典型的三步骤过程。

　　1、收集用户的身份信息，称为当事人(principal)，以及身份的支持证明，称为证书(Credential)。

　　2、将当事人和证书提交给系统。

　　3、如果提交的证书与系统期望的该用户身份(当事人)匹配，该用户就被认为是经过认证的，反之则被认为未经认证的。

　　这个过程的常见例子是大家都熟悉的“用户/密码”组合。多数用户在登录软件系统时，通常提供自己的用户名(当事人)和支持他们的密码(证书)。如果存储在系统中的密码(或密码表示)与用户提供的匹配，他们就被认为通过认证。

　　Shiro以简单直观的方式支持同样的流程。正如我们前面所说，Shiro有一个以Subject为中心的API - 几乎你想要用Shiro在运行时完成的所有事情都能通过与当前执行的Subject进行交互而达成。因此，要登录Subject，只需要简单地调用它的login方法，传入表示被提交当事人和证书(在这种情况下，就是用户名和密码)的AuthenticationToken实例。示例如清单5中所示：

　　清单5. Subject登录

//1. 接受提交的当事人和证书：
AuthenticationToken token =
new UsernamePasswordToken(username, password);
//2. 获取当前Subject：
Subject currentUser = SecurityUtils.getSubject();
//3. 登录： 
currentUser.login(token);

　　你可以看到，Shiro的API很容易地就反映了这个常见流程。你将会在所有的Subject操作中继续看到这种简单风格。在调用了login方法后，SecurityManager会收到AuthenticationToken，并将其发送给已配置的Realm，执行必须的认证检查。每个Realm都能在必要时对提交的AuthenticationTokens作出反应。但是如果登录失败了会发生什么?如果用户提供了错误密码又会发生什么?通过对Shiro的运行时AuthenticationException做出反应，你可以控制失败，参见清单6。

　　清单6. 控制失败的登录

//3. 登录：
try {
currentUser.login(token);
} catch (IncorrectCredentialsException ice) {
…
} catch (LockedAccountException lae) {
…
}
…
catch (AuthenticationException ae) {…
}

　　你可以选择捕获AuthenticationException的一个子类，作出特定的响应，或者对任何AuthenticationException做一般性处理(例如，显示给用户普通的“错误的用户名或密码”这类消息)。选择权在你，可以根据应用需要做出选择。

　　Subject登录成功后，他们就被认为是已认证的，通常你会允许他们使用你的应用。但是仅仅证明了一个用户的身份并不意味着他们可以对你的应用为所欲为。这就引出了另一个问题，“我如何控制用户能做或不能做哪些事情?”，决定用户允许做哪些事情的过程被称为授权。下面我们将谈谈Shiro如何进行授权。