1.Shiro的简介
2.Shiro详解
3.Shiro权限管理框架（二）：Shiro结合Redis实现分布式环境下的Session共享
4.net.sf.ehcache.CacheException: cache 'index' not found in configuration

Shiro的简介

       在之前的学习中，我未记录Shiro的相关笔记，现在决定补全这部分内容。虽然之前写过一篇基础介绍，但感觉总结不够全面。

       Shiro作为当前热门的快手极速黑屏源码安全框架，其实质是权限管理工具，主要负责用户对系统资源的访问控制。例如，访问路径"/Admin/UserList"如果没有权限管理，任何人都能访问，这就构成未授权访问。

       Shiro的核心架构可以参考官网提供的架构图，主要包括Subject（代表用户或应用）、SecurityManager（负责认证和授权的中介）、Authenticator（身份认证）、Authorizer（授权决策）、Realm（数据源，haclon源码获取用户信息）、SessionManager（会话管理）和SessionDAO（会话存储）等组件。

       认证过程中，用户通过身份信息（Principal，如用户名）和凭据信息（Credential，如密码）进行登录。Shiro将这些信息封装成Token，通过安全管理器，调用Authenticator进行身份验证。Realm从数据库获取用户信息进行比对，验证通过后进入授权环节。

       配置方面，shiro.ini文件定义了初始的用户名和密码，与其他框架集成时会用到ShiroConfig。测试代码演示了认证流程的各个环节。

       Shiro的认证源码分析深入到了各个方法，包括认证、rt 源码授权、以及如何从Token中提取用户名和密码进行比对。在Springboot整合Shiro时，涉及创建ShiroFilter、安全管理器、自定义Realm以及配置权限访问规则。

       绕过机制方面，Springboot版本和Shiro版本的搭配会影响绕过漏洞的复现。在Shiro配置中，绕过行为通过路径匹配进行控制。在绕过漏洞的分析中，可以看到Spring和Shiro在处理请求路径时的差异，导致权限控制的失效。

       关于更多Shiro绕过漏洞的详细内容，可以参考nice0e3师傅的文章，链接在这里：[tttang.com/archive/...]

Shiro详解

       Shiro是一个全面的Java安全框架，提供认证、hiveloader源码授权、加密和会话管理等功能。主要功能如下：

       - 认证：验证用户身份，确认登录。

       - 授权：验证用户权限，判断其能否执行特定操作。

       - 会话管理：维护登录状态，确保用户在未退出前的数据连续性。

       - 加密：保护数据安全，如密码加密存储。

       - Web支持：轻松集成Web环境。

       - 缓存：优化性能，如用户信息缓存。

       - 多线程支持：在多线程应用中维持权限。

       - 测试支持：提供测试工具。

       - Remember Me：实现“记住我”功能。

       Shiro的bookinge 源码核心交互对象是Subject，它是应用程序与安全系统交互的门面。SecurityManager是安全管理器，处理所有安全相关操作。Realm提供安全数据，如用户、角色和权限。

       Shiro架构包括Subject、SecurityManager、Authenticator、Authrizer、Realm、SessionManager、SessionDAO、CacheManager和Cryptography。其中，Realm是安全实体的数据源，SessionManager管理会话。

       自定义Realm涉及实现Subject身份验证和授权信息的获取。AuthenticationToken用于收集用户名和密码。Realm在验证时通过CredentialsMatcher进行密码匹配。Subject是Shiro的核心对象，用于身份验证、角色授权和权限验证。

       Shiro与Web应用集成，通过配置ShiroFilter到Spring容器实现。Web应用配置包括设置sessionIdCookie、使用DefaultWebSessionManager和DefaultWebSecurityManager等。

       通过Shiro，开发者可以更高效、安全地管理用户认证、授权和会话，同时简化Web应用的安全性实现。

Shiro权限管理框架（二）：Shiro结合Redis实现分布式环境下的Session共享

       Shiro权限管理框架第二篇深入讲解了如何结合Redis实现分布式环境下的Session共享。在集群环境中，单台服务器已无法满足高并发访问的需求，需要部署集群服务器以分担压力。然而，随着集群服务器的引入，如何在不同服务器间保持用户会话状态成为了一个挑战。

       在无状态的HTTP协议下，通过Session和Cookie机制可以实现用户状态的持久化。用户在首次访问服务器时，服务器为其创建Session，并将唯一SessionId存储在Cookie中，以便在后续请求中识别用户。但随着集群环境的使用，同一用户在不同服务器间的Session无法共享，导致用户需要在每个服务器重新登录，这显然无法提供良好的用户体验。

       为了解决这个问题，通常有两种方式：一是将用户请求固定到某一台服务器，通过IP算法或其他机制实现负载均衡。二是将所有服务器的Session进行共享，使得任何一台服务器都能访问到其他服务器的Session，确保用户在不同服务器间的连续性。Shiro结合Redis实现分布式Session共享，正是基于后一种策略。

       通过继承Shiro的AbstractSessionDAO类，开发者可以轻松实现Session的增删改查操作，结合Redis作为分布式存储，可以高效地实现Session的分布式共享。Shiro框架本身已经封装了大部分流程，开发者只需关注具体的业务实现和配置，从而简化了复杂性。

       实现过程包括自定义RedisSessionDAO、注入SessionManager、配置Shiro安全管理器等步骤，确保所有服务器间Session的一致性和可访问性。测试环节验证了分布式Session共享的正确性，确保了用户在不同服务器间登录状态的一致性。

       基于Redis实现的Session共享，不仅简化了开发过程，而且提高了系统的扩展性和可用性。Shiro框架的使用，使得在不深入源码的情况下，即可实现强大的功能，这体现了框架设计的优秀性和实用性。然而，对于深入理解框架内部工作原理和机制，以提升开发者的编程能力和系统理解，同样重要。因此，深入Shiro源码的探索，将有助于开发者更全面地掌握这一框架的精髓。

       通过Shiro结合Redis实现的分布式Session共享，不仅解决了集群环境下的用户会话一致性问题，还展示了框架设计如何通过抽象和封装，将复杂的系统设计简化为易于理解和使用的API，为开发者提供了高效解决问题的工具。这一过程不仅提高了开发效率，还促进了对框架核心机制的深入理解，为未来的项目开发和维护打下了坚实的基础。

net.sf.ehcache.CacheException: cache 'index' not found in configuration

       åœ¨Shiro中为会话启用Ehcache是非常容易的。首先，确保在你的classpath中有shiro-ehcache-.jar文件。然后，在shiro.ini中配置EHCache为所有Shiro的缓存提供使用：[main]sessionDAO=org.apache.shiro.session.mgt.eis.EnterpriseCacheSess