Apache Shiro：Java 安全框架，认证授权一站搞定

Apache Shiro：Java 安全框架，认证授权一站搞定

Apache Shiro 在 GitHub 上有 4,431 Star。

这个项目是 Apache 基金会下的 Java 安全框架，干的事很明确——认证、授权、加密、会话管理，四个核心能力打包在一起。

1、 它解决什么问题

写 Java 应用绕不开安全这块。用户登录要验证身份，接口要判断权限，敏感数据要加密，HTTP 请求要管会话。这四件事每件单独做都不难，但组合起来就很琐碎。

Spring Security 是主流选择，但配置复杂，学习曲线陡。Shiro 走的是另一条路：API 简洁，上手快，不依赖 Spring 生态也能独立使用。

从移动端 App 到大型企业 Web 系统，Shiro 都能接住。

2、 核心能力

认证（Authentication）：验证用户身份。用户名密码、LDAP、OAuth、JWT 都支持，也可以自定义 Realm 对接自己的数据源。

授权（Authorization）：判断用户能做什么。基于角色的访问控制（RBAC）和基于权限的访问控制都有，粒度可以细到单个资源操作。

加密（Cryptography）：内置哈希、对称加密、非对称加密工具类，不用自己拼装 Bouncy Castle。

会话管理（Session Management）：不依赖 Servlet 容器，Shiro 自己管理会话。这意味着在非 Web 环境（比如桌面应用、微服务）里也能统一处理会话。

3、 怎么用

Maven 引入依赖：

<dependency><groupId>org.apache.shiro</groupId><artifactId>shiro-core</artifactId><version>2.0.2</version></dependency>

最简单的认证流程几行代码就能跑通。Shiro 的设计哲学是"做减法"——核心概念就三个：Subject（当前用户）、SecurityManager（安全管理器）、Realm（数据源）。把这三者的关系理清，其他功能都是在这个骨架上加东西。

官方提供了 10 分钟教程和 Web 应用教程，跟着走一遍就能把基本的认证授权跑起来。

4、 适合什么场景

• 需要在 Java 项目里快速加上用户认证和权限控制的团队
• 不想深度绑定 Spring Security、希望框架轻量独立的场景
• 非 Web 环境下也需要会话管理的桌面应用或微服务
• 对 API 简洁度有要求、不想花太多时间在安全框架配置上的开发者

Shiro 的定位是"够用、好用"。功能覆盖面广，但不会给你一大堆用不到的配置项。如果你的项目安全需求不是特别复杂，Shiro 比 Spring Security 轻便不少。

到的配置项。如果你的项目安全需求不是特别复杂，Shiro 比 Spring Security 轻便不少。