原文地址：第四章 INI配置——《跟我学Shiro》
目录贴： 跟我学Shiro目录贴
源码：https://github.com/zhangkaitao/shiro-example

根对象 SecurityManager

Shiro 是从根对象 SecurityManager 进行身份验证和授权的；也就是所有操作都是自它开始的，这个对象是线程安全且真个应用只需要一个即可，因此 Shiro 提供了 SecurityUtils 让我们绑定它为全局的，方便后续操作。

因为 Shiro 的类都是 POJO 的，因此都很容易放到任何 IoC 容器管理。但是和一般的 IOC 容器的区别在于，Shiro 从根对象 securityManager 开始导航；Shiro 支持的依赖注入：public 空参构造器对象的创建、setter 依赖注入。

纯 Java 代码写法

// com.github.zhangkaitao.shiro.chapter4.NonConfigurationCreateTest
@Test
public void test() {

    DefaultSecurityManager securityManager = new DefaultSecurityManager();

    // 设置 authenticator
    ModularRealmAuthenticator authenticator = new ModularRealmAuthenticator();
    authenticator.setAuthenticationStrategy(new AtLeastOneSuccessfulStrategy());
    securityManager.setAuthenticator(authenticator);

    // 设置 authorizer
    ModularRealmAuthorizer authorizer = new ModularRealmAuthorizer();
    authorizer.setPermissionResolver(new WildcardPermissionResolver());
    securityManager.setAuthorizer(authorizer);

    // 设置 Realm
    DruidDataSource ds = new DruidDataSource();
    ds.setDriverClassName("com.mysql.jdbc.Driver");
    ds.setUrl("jdbc:mysql://localhost:3306/shiro");
    ds.setUsername("root");
    ds.setPassword("123456");

    JdbcRealm jdbcRealm = new JdbcRealm();
    jdbcRealm.setDataSource(ds);
    jdbcRealm.setPermissionsLookupEnabled(true);
    securityManager.setRealms(Arrays.asList((Realm) jdbcRealm));

    // 将 SecurityManager 设置到 SecurityUtils 方便全局使用
    SecurityUtils.setSecurityManager(securityManager);

    Subject subject = SecurityUtils.getSubject();

    UsernamePasswordToken token = new UsernamePasswordToken("zhang", "123");
    subject.login(token);

    Assert.assertTrue(subject.isAuthenticated());
}

等价的 INI 配置

[main]
; 覆盖默认的 securityManager
; securityManager=org.apache.shiro.mgt.DefaultSecurityManager

; authenticator
authenticator=org.apache.shiro.authc.pam.ModularRealmAuthenticator
authenticationStrategy=org.apache.shiro.authc.pam.AtLeastOneSuccessfulStrategy
authenticator.authenticationStrategy=$authenticationStrategy
securityManager.authenticator=$authenticator

; authorizer
authorizer=org.apache.shiro.authz.ModularRealmAuthorizer
permissionResolver=org.apache.shiro.authz.permission.WildcardPermissionResolver
authorizer.permissionResolver=$permissionResolver
securityManager.authorizer=$authorizer

; realm
dataSource=com.alibaba.druid.pool.DruidDataSource
dataSource.driverClassName=com.mysql.jdbc.Driver
dataSource.url=jdbc:mysql://localhost:3306/shiro
dataSource.username=root
dataSource.password=123456

jdbcRealm=org.apache.shiro.realm.jdbc.JdbcRealm
jdbcRealm.dataSource=$dataSource
jdbcRealm.permissionsLookupEnabled=true
securityManager.realms=$jdbcRealm

1. 对象名=全限定类名，相对于调用 public 无参构造器创建对象
2. 对象名.属性名=值，相当于调用 setter 方法设置常量值
3. 对象名.属性名=$对象引用，相当于调用 setter 方法设置对象引用

测试代码

// com.github.zhangkaitao.shiro.chapter4.ConfigurationCreateTest
@Test
public void test() {

    Factory<org.apache.shiro.mgt.SecurityManager> factory =
            new IniSecurityManagerFactory("classpath:shiro-config.ini");

    org.apache.shiro.mgt.SecurityManager securityManager = factory.getInstance();

    // 将 SecurityManager 设置到 SecurityUtils 方便全局使用
    SecurityUtils.setSecurityManager(securityManager);

    Subject subject = SecurityUtils.getSubject();

    UsernamePasswordToken token = new UsernamePasswordToken("zhang", "123");
    subject.login(token);

    Assert.assertTrue(subject.isAuthenticated());
}

如上代码是从 Shiro INI 配置中获取相应的 securityManager 实例：

1. 默认情况先创建一个名字为 securityManager，类型为 org.apache.shiro.mgt.DefaultSecurityManager 的默认的 SecurityManager，如果想自定义，只需要在 ini 配置文件中指定 securityManager= SecurityManager 实现类即可，名字必须为 securityManager，它是起始的根；

2. IniSecurityManagerFactory 是创建 securityManager 的工厂，其需要一个 ini 配置文件路径，其支持 classpath:（类路径）、 file:（文件系统）、 url:（网络）三种路径格式，默认是文件系统；

3. 接着获取 SecuriyManager 实例，后续步骤和之前的一样。

INI 配置

ini 配置文件类似于 Java 中的 properties（key=value），不过提供了将 key/value 分类的特性，key 是每个部分不重复即可，而不是整个配置文件。如下是 INI 配置分类：

[main] 部分

[main]
; 提供了对根对象 securityManager 及其依赖的配置
securityManager=org.apache.shiro.mgt.DefaultSecurityManager
; ...
securityManager.realms=$jdbcRealm

; byte 数组 setter 注入
; base64 byte[]
authenticator.bytes=aGVsbG8=
; 后边的覆盖前边的注入
authenticator.bytes=0x68656c6c6f
; hex byte[]
authenticator.bytes=0x68656c6c6f

; Array/Set/List setter 注入，多个之间通过 "," 分割
authenticator.array=1,2,3
authenticator.set=$jdbcRealm,$jdbcRealm

; Map setter 注入，即格式是：map=key:value,key:value，可以注入常量及引用值，常量的话都看作字符串（即使有泛型也不会自动造型）。
authenticator.map=$jdbcRealm:$jdbcRealm,1:1,key:abc

其他部分

[users]
; 提供了对用户/密码及其角色的配置，用户名=密码，角色 1，角色 2
username=password,role1,role2

[roles]
; 提供了角色及权限之间关系的配置，角色=权限 1，权限 2
role1=permission1,permission2

[urls]
; 用于 web，提供了对 web url 拦截相关的配置，url= 拦截器[参数]，拦截器
/index.html = anon
/admin/** = authc, roles[admin], perms["permission1"]