1.shiro是什么?
Shiro是Apache下的一个开源项目。shiro属于轻量级框架，相对于SpringSecurity简单的多，也没有SpringSecurity那么复杂。官方架构图如下：
2.Shiro提供了四大功能：
（1）认证
（2）授权
（3）加密
（4）会话管理
3.shiro主要功能
- shiro主要有三大功能模块：
- Subject：主体，一般指用户。
- SecurityManager：安全管理器，管理所有Subject，可以配合内部安全组件。(类似于SpringMVC中的DispatcherServlet)
- Realms：用于进行权限信息的验证，一般需要自己实现。
- 细分功能
- Authentication：身份认证/登录(账号密码验证)。
- Authorization：授权，即角色或者权限验证。
- Session Manager：会话管理，用户登录后的session相关管理。
- Cryptography：加密，密码加密等。
- Web Support：Web支持，集成Web环境。
- Caching：缓存，用户信息、角色、权限等缓存到如redis等缓存中。
- Concurrency：多线程并发验证，在一个线程中开启另一个线程，可以把权限自动传播过去。
- Testing：测试支持；
- Run As：允许一个用户假装为另一个用户（如果他们允许）的身份进行访问。
- Remember Me：记住我，登录后，下次再来的话不用登录了。
1.1 Subject
Subject 即主题，外部应用与subject进行交互，subject记录了当前操作用户，将用户当前的概念理解为当前操作的主体，可能是一个通过浏览器请求的用户，也可能是一个运行的程序。
Subject在shiro中是一个接口，接口中提供了许多认证授权的相关方法，外部程序通过subject进行认证授权，而subject通过subject通过SecurityManager进行认证授权。
1.2 SecurityManager
SecurityManager即安全管理器，对于所有的subject进行安全管理，它是shiro的核心，负责对所有的subject进行管理，通过SecurityManager可以完成Subject的认证授权等。SecurityManager通过三部分进行完成：
一、Authenticator(进行认证)；二、Authorizer（进行授权）；三、SessionManager进行会话管理。
1.2.1 Authenticator
Authenticator 即认证器，对用户身份进行认证。Authenticator是一个借口shiro提供ModularRealmAuthenticator实现类，通过ModularRealmAuthenticator基本上可以实现大多数需求，也可以自定义拦截器。
1.2.2 Authorizer
Authorizer 即授权器。用户通过认证器认证通过，在访问功能时需要通过授权器判断用户是否有此功能的操作权限。
1.2.3 SessionManager
sessionManager 即会话管理，shiro框架定义了一套会话管理，他不依赖web容器的session，所有shiro可以适用于非web应用上，也可以将分布式应用的会话集中在一点管理，该特性可以使他实现单点登录。
1.2.4 SessionManager中的SessionDAO
essionDAO即会话dao，是对session会话操作的一套接口，比如要将session存储到数据库，可以通过jdbc将会话存储到数据库。
1.3 Realm
Realm 即领域，相当于DataSource数据源，securityManager进行安全认证需要通过Realm获取用户安全数据。比如：如果用户身份数据在数据库那么realm就需要从数据库获取用户身份信息。
注意：不要把realm理解成只是从数据源取数据，在realm中还有认证授权校验的相关的代码。
1.4 CacheManager
CacheManager即缓存管理，将用户权限数据存储在缓存，这样可以提高性能。
1.5 Cryptography
Cryptography 即密码管理，shiro提供了一套加密、解密的组件，方便开发。比如提供常用的散列、加/解密等功能。
来源：CSDN
作者：梁云亮
链接：https://blog.csdn.net/lianghecai52171314/article/details/103847587