Apache Shiro 是一个强大而灵活的开源安全框架，它干净利落地处理身份认证，授权，企业会话管理和加密
2、能干嘛？
1）验证用户来核实他们的身份
2）对用户执行访问控制,如：
判断用户是否被分配了一个确定的安全角色
判断用户和是否被允许做某事
3）在任何环境下使用session API,即使没有web或ejb容器
4）在身份验证，访问控制期间或在会话的生命周期，对事件作出反应
5）聚集一个或多个用户安全数据的数据源，并作为一个单一的复合用户“视图”
6）启用单点登录(SSO)功能
7）为没有关联到登录的用户启用"Remember Me"服务
3、什么是权限管理？
权限管理是系统的安全范畴，要求必须是合法的用户才可以访问系统（用户认证），且必须具有该 资源的访问权限才可以访问该 资源（授权）。
认证：对用户合法身份的校验，要求必须是合法的用户才可以访问系统。
授权：访问控制，必须具有该 资源的访问权限才可以访问该 资源。权限模型：标准权限数据模型包括 ：用户、角色、权限（包括资源和权限）、用户角色关系、角色权限关系。
权限分配：通过UI界面方便给用户分配权限，对上边权限模型进行增、删、改、查操作。
权限控制：基于角色的权限控制：根据角色判断是否有操作权限，因为角色的变化 性较高，如果角色修改需要修改控制代码，系统可扩展性不强。
基于资源的权限控制：根据资源权限判断是否有操作权限，因为资源较为固定，如果角色修改或角色中权限修改不需要修改控制代码，使用此方法系统可维护性很强。建议使用。
权限管理的解决方案：
对于粗颗粒权限管理：建议在系统架构层面去解决，写系统架构级别统一代码（基础代码）。粗颗粒权限：比如对系统的url、菜单、jsp页面、页面上按钮、类方法进行权限管理，即对资源类型进行权限管理。
对于细颗粒权限管理：
细颗粒权限：比如用户id为001的用户信息（资源实例）、类型为01的商品信息（资源实例），对资源实例进行权限管理，理解对数据级别的权限管理。
细颗粒权限管理是系统的业务逻辑，业务逻辑代码不方便抽取统一代码，建议在系统业务层进行处理。
4、shiro相关概念简介:
Subject:Subject即主体，外部应用与subject进行交互，subject记录了当前操作用户，将用户的概念理解为当前操作的主体，可能是一个通过览器请求的用户，也可能是一个运行的程序。
Subject在shiro中是一个接口，接口中定义了很多认证授权相关的方法，外部程序通过subject进行认证授，而subject是通过SecurityManager安全管理器进行认证授权
SecurityManager:
SecurityManager即安全管理器，对全部的subject进行安全管理，它是shiro的核心，负责对所有的subject进行安全管理。通过SecurityManager可以完成subject的认证、授权等，实质上SecurityManager是通过Authenticator进行认证，通过Authorizer进行授权，通过SessionManager
进行会话管理等。
SecurityManager是一个接口，继承了Authenticator, Authorizer, SessionManager这三个接口。
Authenticator:
Authenticator即认证器，对用户身份进行认证，Authenticator是一个接口，shiro提供ModularRealmAuthenticator实现类，通过ModularRealmAuthenticator基本上可以满足大多数需求，也可以自定义认证器。
Authorizer:
Authorizer即授权器，用户通过认证器认证通过，在访问功能时需要通过授权器判断用户是否有此功能的操作权限。
realm:
Realm即领域，相当于datasource数据源，securityManager进行安全认证需要通过Realm获取用户权限数据，比如：如果用户身份数据在数据库那么realm就需要从数据库获取用户身份信息。
注意：不要把realm理解成只是从数据源取数据，在realm中还有认证授权校验的相关的代码。
sessionManager:
sessionManager即会话管理，shiro框架定义了一套会话管理，它不依赖web容器的session，所以shiro可以使用在非web应用上，也可以将分布式应用的会话集中在一点管理，此特性可使它实现单点登录。
SessionDAO:
SessionDAO即会话dao，是对session会话操作的一套接口，比如要将session存储到数据库，可以通过jdbc将会话存储到数据库。
CacheManager:
CacheManager即缓存管理，将用户权限数据存储在缓存，这样可以提高性能。
Cryptography:
Cryptography即密码管理，shiro提供了一套加密/解密的组件，方便开发。比如提供常用的散列、加/解密等功能。
5、shiro认证执行流程
1)subject(主体)请求认证，调用subject.login(token)，token中包含了用户登录的账号和密码。由securityManager通过Authenticator（接口）进行认证
2）Authenticator最终由实现类ModularRealmAuthenticator调用Realm（同时向Realm传入了包含用户信息的token）数据库中获取用户真实的账号和密码。这里的Realm为自定义的。
3）Realm先根据token中的账号去数据库中查找该用户信息（包括账号和密码）:
如果找不到则给ModularRealmAuthenticator返回null
如果找到则给ModularRealmAuthenticator返回用户信息（包括账号和密码）。
4）ModularRealmAuthenticator接收Realm返回的Anthentication认证信息:
如果返回的信息为null,ModularRealmAuthenticator则抛出异常（UnknownAccountException--账号不存在）
如果返回的信息不为null,说明用户是存在的。ModularRealmAuthenticator再对Realm返回的用户密码（根据返回的用户得到该用户密码）与token中的密码进行对比。如果密码一致则认证通过;如果密码不一致则抛出异常（IncorrectCredentialsException--密码错误）
UnknownAccountException
账号不存在异常如下：（Realm干的活）
org.apache.shiro.authc.UnknownAccountException: No account found for user。。。。
IncorrectCredentialsException
当输入密码错误（账号存在）会抛此异常，如下：（ModularRealmAuthenticator干的活）
org.apache.shiro.authc.IncorrectCredentialsException: Submitted credentials for token [org.apache.shiro.authc.UsernamePasswordToken - zhangsan, rememberMe=false] did not match the expected credentials.
更多如下：
DisabledAccountException（帐号被禁用）
LockedAccountException（帐号被锁定）
ExcessiveAttemptsException（登录失败次数过多）
ExpiredCredentialsException（凭证过期）等
6、shiro授权的执行流程
1）对subject进行授权，调用方法isPermitted（"permission串"）2）SecurityManager执行授权，最终通过ModularRealmAuthorizer执行授权
3）ModularRealmAuthorizer执行Realm（自定义的Realm）从数据库查询权限数据调用realm的授权方法：doGetAuthorizationInfo
4）Realm从数据库查询权限数据，返回ModularRealmAuthorizer授权信息
5）ModularRealmAuthorizer调用PermissionResolver进行权限串比对
6、如果比对后，isPermitted中"permission串"在realm从数据库中查询到权限数据中，说明用户访问permission串有权限，否则 没有权限，抛出异常。