基于内存的授权操作
写在前面本篇来学习Spring Security中的授权操作，建议先阅读之前Shiro框架相关的几篇内容，通过对比学习可以加深对授权的理解。
授权授权就是当用户通过认证之后，需要访问某一资源的时候，我们需要检查用户是否具备访问该资源的权限，如果具备就允许访问；反之则不允许。
认证我们知道用户想要进行授权，前提是已经通过了认证，而SpringSecurity存在多种认证方式，查看一下这个AuthenticationManagerBuilder类，可以发现它存在inMemoryAuthentication（内存）、jdbcAuthentication（数据库）和ldapAuthentication（LDAP）等三种认证方式：
1234567891011public InMemoryUserDetailsManagerConfigurer<AuthenticationManagerBuilder> inMemoryAuthentication() throws Exception { return (InMemoryUserDetailsManagerConfig ...
前后端分离回调和注销登录
在前一篇学习了前后端不分离模式下的登录回调和注销登录，接下来开始学习前后端分离模式下的登录回调和注销登录。请注意，前后端分离模式下，前后端是通过json来进行数据交互，因此和之前需要采用不同的处理方式。还有前后端分离模式下认证是使用传统的session还是采用像JWT一样的token呢？这些同样需要引起注意。
状态传统方式是通过session来记录用户认证信息，可以理解为是一种无状态登录，而JWT则是一种无状态登录，那么有状态和无状态的区别是什么？在此之前需要了解http无状态以及最好知道cookie、session和token这三者之间的区别。
http无状态http协议是无状态的，这里的无状态协议是指协议对于事务处理没有记忆能力。缺少状态，说明一旦数据交换完毕，客户端与服务器之间的连接就会关闭，若想再次进行数据交换则需建立新的连接，这就意味着服务器无法从连接上跟踪会话。
会话跟踪会话，指用户登录网站后的一系列动作，如浏览商品、添加商品至购物车、购买商品等。会话（Session）跟踪是Web程序中常用的技术，用来跟踪用户的整个会话。常用的会话跟踪技术是Cookie和Session，其 ...
前后端不分离回调和注销登录
写在前面按照顺序接下来应该学习登录实现的机制，但是考虑到这是入门文章，因此这里先跳过，后续再来介绍。
接下来需要针对登录成功后的两种较为普遍的场景进行介绍，其实就是前后端分离和前后端不分离这两种情况，两种情况的处理方式是不相同的，本篇介绍前后端不分离模式下的处理方式，前后端分离模式则在下篇进行介绍，同时还会学习如何注销登录。
登录成功回调SpringSecurity中有两个方法与登录成功重定向URL相关，分别是successForwardUrl和defaultSuccessUrl，那么你可能就要问了，我怎么知道这两个方法与登录成功重定向URL相关呢？
前面说过SpringSecurity中与登录相关的配置信息都在FormLoginConfigurer类中，因此回到FormLoginConfigurer和它的父类AbstractAuthenticationFilterConfigurer中，可以发现前者存在successForwardUrl方法，而后者存在defaultSuccessUrl方法。
FormLoginConfigurer#successForwardUrl方法源码如下所示： ...
自定义信息
写在前面前面使用的登录表单是Spring Security自带的，在实际开发过程中用户都会自定义登录表单、样式文件、登录接口、登录参数名称等信息，因此本篇就来研究这些内容。
自定义信息登录表单自定义SpringSecurity默认提供的登陆表单样式如下所示：
如果开发者想自定义该登陆页面及样式这也是允许的，首先用户需要在resourses文件夹下新建static目录，并在该目录中新建login.html文件，其中的代码为：
1234567891011121314151617181920212223242526272829303132333435<!DOCTYPE html><html lang="en"><head> <meta charset="UTF-8"> <title>登录</title> <link href="https://cdn.bootcdn.net/ajax/libs/twitter-bootstrap/3.3.5/cs ...
快速入门
在SpringBoot入门篇中曾经介绍过Spring Security的基本使用，但是考虑到实际开发过程中对于Spring Security的严苛要求，于是准备花点时间来深入研究一下SpringSecurity权限框架。
Spring Security介绍理由在介绍Spring Security之前需要介绍为什么不选择Shiro。个人觉得有三点：（1）Apache Shiro是一个轻量级的安全管理框架，提供了认证、授权、会话管理、密码管理、缓存管理等功能，而Spring Security则是一个更为复杂的安全管理框架，功能比Shiro更强大，权限控制细粒度更高，对于OAuth2的支持也更友好。（2）Spring Security源自Spring全家桶，因此与Spring框架可以做到无缝整合。（3）SpringBoot中提供了Spring Security的自动化配置方案，使得Spring Security的使用变得更加便捷。
来源其实Spring Security最早不叫Spring Security ，而是叫Acegi Security，Acegi英文意思是取消，意味着使用Acegi ...
搭建前后端分离的权限系统
#写在前面前面我们使用Spring Boot+Shiro框架搭建的权限管理系统只使用于前后端一体化的项目，并不适用于当前最流行的前后端分离架构。要实现前后端分离，那么需要考虑两点：一是项目不再基于Session，那么此时如何确认访问者身份；二是如何确认访问者所具有的权限。如果你之前有过前后端分离的开发经验，肯定知道前后端分离一般依靠的都是token，即采用token来实现。用户登录时会生成token及token过期时间，而token与用户是一一对应关系，在调用接口的时候，将token放入header或者请求参数中，这样服务端就知道当前是哪个用户在调用接口。
由于本篇主要介绍如何实现前后端分离，因此关于前端的代码这里就忽略，详细的前端会在后面文章进行介绍。
新建SpringBoot项目使用spring Initializr构建工具构建一个SpringBoot的Web应用，名称为shiro-fontback，然后在pom.xml文件中添加Shiro依赖以及Swagger依赖，代码为：
12345678910111213141516171819202122232425262728293031 ...
搭建RESTful风格权限系统
写在前面前面我们使用SpringBoot集成Shiro搭建了一个简易的权限管理系统，但是那种在实际开发过程中用的不多，本篇来学习另一种较为常见的SpringBoot集成Shiro搭建权限管理系统，这里就不使用Thymeleaf模板引擎，而是直接返回RESTful风格的API。
新建SpringBoot项目使用spring Initializr构建工具构建一个SpringBoot的Web应用，名称为shiro-swagger，然后在pom.xml文件中添加Shiro依赖以及页面模板引擎依赖，代码为：
1234567891011121314151617181920212223242526272829303132333435363738394041424344454647484950515253545556575859606162636465<dependencies> <dependency> <groupId>org.springframework.boot</groupId> <artifactId ...
SpringBoot集成Shiro搭建简易权限系统
写在前面前面学习的都是通过模拟数据库这一方式来学习，在实际开发过程中都是直接连接数据库，因此本篇将搭建一个使用Shiro框架实现的权限校验系统。
新建SpringBoot项目使用spring Initializr构建工具构建一个SpringBoot的Web应用，名称为envy-shiro，然后在pom.xml文件中添加Shiro依赖以及页面模板引擎依赖，代码为：
1234567891011121314151617181920212223242526272829303132333435363738394041424344454647484950<dependencies> <!--添加Shiro依赖--> <dependency> <groupId>org.apache.shiro</groupId> <artifactId>shiro-spring</artifactId> <version>1.4.0</version& ...
密码加密和SpringBoot集成Shiro
写在前面Shiro是一个安全框架，除了提供前面介绍的认证和授权之外，还可以对用户密码进行加密，那么本篇就来学习Shiro如何对密码进行加密，并介绍如何在SpringBoot中使用Shiro框架。
MD5加密前面我们无论是读取配置文件中的密码还是模拟数据库中的密码，使用的都是明文密码，显然这是不安全的，因此很多情况下我们都会采用加密算法，尤其是采用非对称加密，其实就是不可逆加密，常用的MD5加密算法就是这样的一种算法。
举个例子，下面一段代码演示了如何利用MD5加密算法对密码1234进行加密：
12345public static void main(String[] args){ String password = "1234"; String encodePassword = new Md5Hash(password).toString(); System.out.println(encodePassword); };
执行结果如下所示：
181dc9bdb52d04dc20036dbd8313ed055
由于这是非对称 ...
自定义Realm
写在前面通过前面的学习，我们知道实际进行权限信息验证的是Realm，而Shiro框架内部提供了两种实现，一种是查询.ini文件的IniRealm；另一种是查询数据库的JdbcRealm。那么本篇就来分别研究这两个实现。
本篇主要学习以下内容：（1）Realm；（2）Shiro功能；（3）Shiro优点：（4）Shiro架构：（5）Shiro概念：（6）Shiro认证流程：（7）Shiro授权流程。
RealmShiro从Realm中获取安全数据（用户、角色、权限），也就是说SecurityManager想要验证用户身份，那么它必须从Realm中获取安全数据进而来确定用户的身份是否合法，之后判断用户是否具有某个角色，某个权限。
自定义Realm一般来说，自定义Realm都需要继承org.apache.shiro.realm.AuthorizingRealm类，查看一下这个类的源码，如下所示：
1public abstract class AuthorizingRealm extends AuthenticatingRealm implements Authorizer, Initiali ...