Shiro是项目中用的比较多Java安全框架，能满足大多数项目的安全认证、授权流程。相比SpringSecurity的复杂重量级，它更简单易用。

Shiro中最关键的两个概念是认证和授权，前者解决确认用户身份问题，可以是用户名密码或者是指纹或证书等，后者解决判断用户权限问题，是否有对某个菜单、链接或资源等的操作权限。 其流程如下：

2.1.4. Shiro 认证流程

具体流程分析如下:

1)系统调用subject的login方法将用户信息提交给SecurityManager

2)SecurityManager将认证操作委托给认证器对象Authenticator

3)Authenticator将身份信息传递给Realm进行认证

4)Realm访问数据库对用户身份进行认证。

2.1.5. Shiro 授权流程

1)系统调用subject相关方法将用户信息递交给SecurityManager

2)SecurityManager将权限检测操作委托给Authorizer对象

3)Authorizer将用户信息委托给realm进行权限检测

4)Realm访问数据库获取用户权限信息，然后对用户权限进行检测。

从以上也可以看出Shiro中最关键的三个元素就是Subject、Security Manager、Realm。

Subject：主体，代表了当前“用户”，这个用户不一定是一个具体的人，与当前应用交互的任何东西都是Subject，如网络爬虫，机器人等；即一个抽象概念；所有Subject都绑定到SecurityManager，与Subject的所有交互都会委托给SecurityManager；可以把Subject认为是一个门面【门面模式】；SecurityManager才是实际的执行者；

SecurityManager：安全管理器；即所有与安全有关的操作都会与SecurityManager交互；且它管理着所有Subject；可以看出它是Shiro的核心，它负责与后边介绍的其他组件进行交互，如果学习过SpringMVC，你可以把它看成DispatcherServlet前端控制器；

Realm：域，Shiro从从Realm获取安全数据（如用户、角色、权限），就是说SecurityManager要验证用户身份，那么它需要从Realm获取相应的用户进行比较以确定用户身份是否合法；也需要从Realm得到用户相应的角色/权限进行验证用户是否能进行操作；可以把Realm看成DataSource，即安全数据源。