在 Spring Boot 中做权限管理，一般来说，主流的方案是 Spring Security ，但是，仅仅从技术角度来说，也可以使用 Shiro。
Shiro提供了JSTL标签用于在JSP/GSP页面进行权限控制，如根据登录用户显示相应的页面按钮。
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
三个核心组件：Subject, SecurityManager 和 Realms.
Apache Shiro是Java的一个安全框架，旨在简化身份验证和授权。Shiro在JavaSE和JavaEE项目中都可以使用。它主要用来处理身份认证，授权，企业会话管理和加密等。Shiro的具体功能点如下：
1、应用代码通过Subject来进行认证和授权，而Subject又委托给SecurityManager；
ssm整合shiro框架，对用户的登录操作进行认证和授权，目的很纯粹就是为了增加系统的安全线，至少不要输在门槛上嘛。 这几天在公司独立开发一个供公司内部人员使用的小管理系统，客户不多但是登录一直都是简单的校验查询，没有使用任何安全框架来保驾护航，下午终于拿出以前的手段来完善了一下，将shiro安全框架与ssm整合使用的步骤和大家分享一下，都是些简单易懂的东西，希望努力没有白费，帮到大家。 ssm整合shiro安全框架的步骤： 1、引入shiro安全框架的所需jar包 1
2.Shiro权限框架 2.1 概念 2.2 Apache Shiro 与Spring Security区别
7.1 生成加密密码PasswordHelper类（盐加密） MD5+散列1024+Hex/Base64
<dependency> <groupId>org.apache.shiro</groupId> <artifactId>shiro-core</artifactId> <version>${shiro.version}</version> </dependency> <dependency> <groupId>org.apache.shiro</groupId> <artifactId>shiro-spring</artifactId> <version>${shiro.version}</version> </dependency> <dependency> <groupId>org.apache.shiro</groupId> <artifactId>shiro-cas</artifactId> <version>${shiro.version}</version> <exclusions> <exclusion> <groupId>commons-logging</groupId> <artifactId>commons-logging</artifactId> </exclusion> </exclusions> </dependency> <dependency> <groupId>org.apache.shiro</groupId> <artifactId>shiro-web</artifactId> <version>${shiro.version}</version> </dependency> <dependency> <groupId>org.apache.shiro</groupId> <artifactId>shiro-ehcache</artifactId> <version>${shiro.version}</version> </dependency>
此处我们使用了jetty-maven-plugin和tomcat7-maven-plugin插件；这样可以直接使用“mvn jetty:run”或“mvn tomcat7:run”直接运行webapp了。然后通过URLhttp://localhost:8080/chapter7/访问即可。
Apache Shiro是一个强大且易用的Java安全框架,执行身份验证、授权、密码和会话管理。使用Shiro的易于理解的API,您可以快速、轻松地获得任何应用程序,从最小的移动应用程序到最大的网络和企业应用程序。
首先授权必须是在认证通过之后才会执行的操作,之前我们在Shiro教程4(授权操作)该教程中讲过，获取权限我们是通过如下方法实现的
基本上涉及到用户参与的系统都要进行权限管理，权限管理属于系统安全的范畴，权限管理实现对用户访问系统的控制，按照安全规则或者安全策略控制用户可以访问而且只能访问自己被授权的资源。
Apache Shiro是一个功能强大、灵活的，开源的安全框架。它可以干净利落地处理身份验证、授权、企业会话管理和加密。越来越多的企业使用Shiro作为项目的安全框架，保证项目的平稳运行。
目前在企业级项目里做权限安全方面喜欢使用Apache开源的Shiro框架或者Spring框架的子框架Spring Security。
要知道Shiro和Spring Security该如何选择，首先要看看两者的区别和对比
虽然 Shiro 功能简单，但是也能满足大部分的业务场景。所以在传统的 SSM 项目中，一般来说，可以整合 Shiro。
Apache Shiro是一个强大而灵活的开源安全框架，它能够干净利落地处理身份认证，授权，企业会话管理和加密。现在，使用Apache Shiro的人越来越多，因为它相当简单，相比比Spring Security，Shiro可能没有Spring Security那么多强大的功能，但是在实际工作时可能并不需要那么复杂的东西，所以使用简单的Shiro就足够了。
Shiro 获取权限相关信息可以通过数据库获取，也 可以通过 ini 配置文件获取
用户权限管理一般是对用户页面、按钮的访问权限管理。Shiro框架是一个强大且易用的Java安全框架，执行身份验证、授权、密码和会话管理，对于Shiro的介绍这里就不多说。本篇博客主要是了解Shiro的基础使用方法，在权限管理系统中集成Shiro实现登录、url和页面按钮的访问控制。
1.shiro可以完成哪些工作？ shiro可以帮助我们完成：认证、授权、加密、会话管理、与Web集成、缓存等
我和儿子有个共同的心愿，出国旅游。昨天儿子考试得了全班第一，我跟媳妇合计着带他出国见见世面，吃晚饭的时候，一家人开始了讨论这个。我：“儿子，你的心愿是什么？”，儿子：“吃汉堡包”，我：“往大了说”，儿子：“变形金刚”，我：“今天你爹说了算，想想咱俩共同的心愿”，儿子怯生生的瞅了媳妇一眼说：“换个妈？"，我心里咯噔一下：“这虎犊子，坑自己也就算了，怎么还坑爹呢”。
之前的maven项目，里面使用shiro进行验证，并且自定义了认证规则，里面我们还需要自己写ini文件，在这个ini文件里面进行shiro的配置，比如配置加密规则，配置自定义的认证规则。
一方面需要引入shiro官方web依赖（特别说明，官方有两个starter，一个springboot，另一个springboot-web，此处我们要引入的是web starter）。同时，因为要基于thymeleaf进行html展示，还额外引入两个依赖：
2. 自定义UserRealm类：用于查询用户的角色和权限信息并保存到权限管理器
2020年3月23号，Shiro开发者Brian Demers在用户社区发表帖子，提醒shiro用户进行安全更新，本次更新进行了三个修复，其中就包括了对编号为CVE-2020-2957的Shrio授权绕过漏洞的修复。漏洞影响shiro 1.5.2版本以下。
首先Shiro较之 Spring Security，Shiro在保持强大功能的同时，还在简单性和灵活性方面拥有巨大优势。
不知道大家在做java web项目的时候有没有想过这个，虽然我们一般做项目时都会选择让用户先注册登录之后才能看到我们项目的具体内容，在知道了内部页面的路径之后我们能够在未登录的情况下，直接在网页中输入我们内部页面的绝对路径访问到呢？ 答案当然是可以的，所以这时候就牵扯出了一些问题，我们怎么才能对用户进行身份验证，这样才能确保用户必须登录过后才能浏览相关的界面。这时候就有两种方案，一种是直接通过过滤器实现，在每一用户的请求操作时都检查一遍用户用户是否已经登录，否则就禁止访问，第二种就是我要说的shiro框架。官方文档上是这样介绍shiro的
用户[<shiro:principal/>]拥有角色admin
Apache Shiro是一款强大易用的安全框架，它可以在任何应用环境中使用，能够跟第三方框架良好的耦合，它的设计目标就是简化应用程序的安全工作管理。那Shiro究竟是如何工作的？
项目下载地址：http://download.csdn.NET/detail/aqsunkai/9805821 （一）在pom.xml中添加依赖： <properties> <shiro.version>1.3.2</shiro.version> </properties> <dependency> <groupId>org.apache.shiro</groupId> <artifactId>shiro-core</artifactId
单点登录(Single sign on)，英文名称缩写SSO，SSO的意思就是在多系统的环境中，登录单方系统，就可以在不用再次登录的情况下访问相关受信任的系统。也就是说只要登录一次单体系统就可以。
Apache Shiro是一个功能强大且易于使用的Java安全框架，它为开发人员提供了一种直观，全面的身份验证，授权，加密和会话管理解决方案。下面是在SpringBoot中使用Shiro进行认证和授权的例子，代码如下：
Shiros是我们开发中常用的用来实现权限控制的一种工具包，它主要有认证、授权、加密、会话管理、与Web集成、缓存等功能。我是从事javaweb工作的，我就经常遇到需要实现权限控制的项目，之前我们都是靠查询数据获取列表拼接展示的，还有的是及时的判断权限的问题的，现在有了Shiros了，我们就可以统一的进行设置权限问题，Shrios的实现也是很简单的，下面让我们来看看具体实现步骤
还记得吗，以前我们在没有与WEB环境进行集成的时候，为了生成SecurityManager对象，是通过手动读取配置文件生成工厂对象，再通过工厂对象获取到SecurityManager的。就像下面代码展示的那样
本章我们来学习 Shiro 集成 Spring，即在 Web 环境下如何使用 Shiro 来进行权限控制。
权限管理就是实现对用户访问系统的资源进行控制，用户可以访问而且只能访问自己被授权的资源，只要有用户和密码的系统，权限管理几乎都会出现，举例，给张三赋予 “人力资源经理” 的角色，“人力资源经理” 具有 “查询员工”、“添加员工”、“修改员工” 和 “删除员工” 的权限。此时张三能够进入系统，则只可以进行这些操作。
Authentication（认证）, Authorization（授权）, Session Management（会话管理）, Cryptography（加密）被 Shiro 框架的开发团队称之为应用安全的四大基石。
Subject：Subject一般来说代表当前登录的用户，我们可以在自己的代码中很容易的获取到Subject对象
和大家分享一个松哥原创的 Shiro 教程吧，还没写完，先整一部分，剩下的敬请期待。
授权，即权限验证，验证某个已认证的用户是否拥有某个权限；即判断用户是否能做事情，常见的如：验证某个用户是否拥有某个角色。或者细粒度的验证某个用户对某个资源是否具有某个权限
Authorization：授权，即权限验证，验证某个已认证的用户是否拥有某个权限；即判断用户是否能做事情，常见的如：验证某个用户是否拥有某个角色。或者细粒度的验证某个用户对某个资源是否具有某个权限；
领取专属 10元无门槛券
手把手带您无忧上云
云服务器
ICP备案
实时音视频
对象存储
即时通信 IM
