weixin_71819778的博客

领域，Shiro 从 Realm 获取安全数据（如用户、角色、权限），就是说 SecurityManager 要验证用户身份，那么它需要从 Realm 获取相应的用户进行比较以确定用户身份是否合法；目前，使用 Apache Shiro 的人越来越多，因为它相当简单，对比 Spring Security，可能没有 Spring Security 做的功能强大，但是在实际工作时可能并不需要那么复杂的东西，所以使用小而简单的 Shiro 就足够了。用户表，用户角色表，角色表，角色资源表，资源表关系。

它提供了一组可以在Spring应用上下文中配置的Bean，充分利用了Spring IoC（控制反转），DI（ 依赖注入）和AOP（面向切面编程）功能，为应用系统提供声明式的安全访问控制功能，减少了为企业系统安全控制编写大量重复代码的工作。Shiro 主要分为两个部分就是认证和授权，在个人感觉来看就是查询数据库做相应的判断而已，Shiro只是一个框架而已，其中的内容需要自己的去构建，前后是自己的，中间是Shiro帮我们去搭建和配置好的。它所有的架构也是基于认证和授权这两个核心功能去实现的。

Authorization（授权） 发生在 Authentication（认证）之后。授权，光看意思大家应该就明白，它主要掌管我们访问系统的权限。比如有些特定资源只能由具有特定权限的人才能访问，比如 admin，有些对系统的敏感资源操作，比如删除、添加、更新，通常特定人才具有。Authentication（认证） 是验证当前身份的凭据（例如用户名/用户ID和密码），通过这个凭据，系统得以知道你就是你，也就是说系统存在你这个用户。在系统中，这两个一般是被结合在一起使用的，目的就是为了保护系统的安全性。