Apache Shiro是一套面向Java应用的开源安全框架，专门处理身份认证、授权、会话与加密等基础安全需求。它诞生之初就强调易用性，让普通业务系统不必深入底层协议也能拥有规范的安全控制能力。
在传统的Java Web开发中，很多团队会自己写拦截器判断用户是否登录，再手写一串if else控制菜单显示。这种做法短期能跑，但权限规则一多就难以维护，还容易漏掉接口导致越权。Shiro把这类逻辑抽象成标准流程，通过统一API让控制方式保持一致。
Shiro的设计哲学是“不重新发明轮子”。它不绑定特定Web容器，也不强制使用某一种数据库，而是提供可插拔的组件。你可以用它保护普通Java程序、Swing客户端，也能无缝接入Spring Boot项目。这种灵活性让它成为中小型系统安全层的常见选择。
核心概念解析
理解Shiro首先要搞清楚三个基础角色。第一个是Subject，它代表当前操作的用户或程序，可以是人也可以是第三方服务。在代码里我们通过SecurityUtils.getSubject()拿到这个对象，然后调用login或hasRole方法。
第二个是SecurityManager，它是Shiro的全局枢纽，负责协调各个模块工作。所有Subject的行为最终都由它调度，类似一个前台总管。第三个是Realm，这是连接应用数据源的桥梁，开发者在这里写账号密码校验、角色权限查询的真实逻辑。
Subject与SecurityManager的协作
当用户发起登录，Subject会把凭证交给SecurityManager。管理器再转给配置的Realm做比对。如果Realm返回匹配信息，Subject就被标记为已认证状态，后续请求可以直接用isAuthenticated判断。
这种分层让控制代码非常干净。业务层只需要关心“当前人能不能做某件事”，而不用管密码怎么加密、会话存到哪里。真实项目里，我们常在Controller里写一行subject.checkPermission就能拦住非法调用。
Realm的两种常见写法
Realm是Shiro里最需要自定义的部分。最简单的方式是继承AuthorizingRealm，实现doGetAuthenticationInfo和doGetAuthorizationInfo两个方法。前者处理登录，后者处理权限加载。
比如从数据库查用户，可以把查到的密码和盐值封装成SimpleAuthenticationInfo返回。Shiro会自动用你配置的CredentialsMatcher比对前端传来的明文。授权方法里则从角色表、权限表读出数据，拼成SimpleAuthorizationInfo交给框架缓存。
| 方式 | 适用场景 | 维护成本 |
|---|---|---|
| ini配置Realm | demo或固定账号系统 | 低，但账号写死 |
| JdbcRealm | 标准关系库用户表 | 中，需建表 |
| 自定义Realm | 复杂业务或微服务 | 较高，但最灵活 |
会话与加密能力
Shiro自带SessionManager，不依赖Web容器的HttpSession。这意味着你在非Web环境也能用subject.getSession存临时数据。对于分布式系统，可以替换成Redis会话方案，避免单点登录状态丢失。
加密方面，Shiro提供了HashService和随机盐工具。推荐用SHA-256加随机盐存储密码，既防彩虹表也防内部泄露。框架自带的密码匹配器能直接对接这种存储格式，登录时无需手写比对代码。
实际集成步骤
在Spring Boot项目里，通常先引入shiro-spring依赖，再写配置类创建DefaultWebSecurityManager并注入自定义Realm。接着用ShiroFilterFactoryBean定义URL规则，例如“/admin/** = authc, roles[admin]”表示后台路径必须登录且带管理员角色。
页面上可以用shiro标签控制按钮显隐，接口内用注解@RequiresPermissions限制调用。这样前后端双保险，即便有人绕过页面直接发请求也会被框架挡下。上线前记得关掉开发期的PermissiveResolver，避免调试后门残留。
Shiro不是万能盾，它解决的是“谁是谁、能做什么”的通用问题。涉及细到字段级的防篡改，仍需业务层补充校验。
为何选择Shiro而非其他方案
和Spring Security比，Shiro的概念更少，文档示例也更直白。小团队三天就能接完登录到按钮权限的全链路。当系统不需要OAuth2复杂授权码流程时，它的简洁反而是优势。
当然如果项目已经是纯Spring技术栈且需要高级鉴权协议，Spring Security生态更顺。但大量内部系统、后台工具、教学项目用Shiro足以覆盖九成场景，这也是它长久流行的原因。
Apache_Shiro权限管理身份认证修改时间：2026-08-11 00:45:31