【李兴华】Shiro开发框架视频课程(采用Eclipse + Maven进行开发）

这套 Shiro 课程围绕 Apache Shiro 这个 Java 安全框架展开，开发环境固定为 Eclipse + Maven。它的价值不在于讲了多少概念，而在于把一个权限框架从依赖引入、配置装配到认证授权落地的过程拆开给你看。如果你手头正好有源码包或跟着敲过一遍，这篇导读可以帮你判断哪些部分值得反复对照。

技术栈定位：Shiro 在 Java 权限体系中的位置

Shiro 解决的是认证（Authentication）、授权（Authorization）、会话管理（Session Management）和加密（Cryptography）四件事，核心是 Subject、SecurityManager、Realm 三个抽象。它不依赖 Spring 容器也能独立运行，这一点对理解权限框架的本质很有帮助——很多人第一次接触 Spring Security 时被过滤器链绕晕，回过头看 Shiro 的 SecurityManager 结构反而更清楚。

课程用 Maven 管理依赖，意味着你能看到 shiro-core、shiro-web、shiro-spring 这些模块是怎么按需引入的，而不是一次性堆进 classpath。Eclipse 作为 IDE 则决定了调试方式：断点打在 Realm 的 doGetAuthenticationInfo 和 doGetAuthorizationInfo 上，观察凭证匹配和权限加载的调用时机，这是看视频很难替代的动手环节。

项目结构里值得对照的模块

Shiro 的工程结构通常分三层：配置层、认证授权层、Web 集成层。配置层负责 Ini 或 Spring XML 的装配，定义 SecurityManager 与 Realm 的绑定关系；认证授权层是自定义 Realm 的实现，涉及数据库查询、密码加密（通常是加盐哈希）、角色与权限字符串的组装；Web 集成层则是过滤器链的配置，anon、authc、perms、roles 这些拦截规则决定了 URL 的访问边界。

• Realm 实现：重点看凭证比对逻辑，以及 AuthorizationInfo 里权限集合的构造方式。
• 过滤器链：理解 URL 匹配顺序，Shiro 的 filterChainDefinitionMap 是自上而下匹配的，顺序写错会导致权限规则失效。
• 会话与缓存：SessionManager 和 CacheManager 的配置决定了集群环境下会话是否共享，这一块在实际部署时经常出问题。
• 加密工具：Shiro 自带的 SimpleHash 与 Salt，是理解密码存储方案的起点。

可复用的部分与学习路径

这套资料最适合拿来做的不是“完整项目复刻”，而是抽取其中的 Realm 模板和过滤器配置模板，套进你自己的业务表结构。认证部分的核心逻辑——根据用户名查库、比对哈希、返回 AuthenticationInfo——换个项目几乎照搬；授权部分则要结合你的权限模型（RBAC 还是资源级权限）做调整。

学习顺序建议按依赖关系走：先跑通纯 Java 的 Ini 配置认证，理解 Subject.login 的流程；再引入自定义 Realm 对接数据库；最后接入 Web 环境配置过滤器链。每一步都建议在 Eclipse 里打断点验证，尤其是凭证匹配失败时抛出的异常类型（UnknownAccountException、IncorrectCredentialsException），这些细节在排错时很关键。

如果你已经用过 Spring Security，可以带着对比的心态看：Shiro 的 Realm 对应 Spring Security 的 UserDetailsService + AuthenticationProvider，过滤器链对应 FilterChainProxy 的规则配置。两套框架解决同一类问题，实现思路不同，对照着看能更快抓住权限框架的共性。

适合谁拿来对照实践

这门课对读者的前置要求是：能看懂 Java Web 的基本结构，知道 Maven 的 pom 依赖怎么加，了解 Servlet 过滤器的作用。如果你完全没有 Java 基础，直接看 Shiro 的过滤器链配置会比较吃力，建议先把 Servlet 会话机制补上。

已经工作的开发者可以把它当成权限模块的重温材料——很多项目里权限代码是历史遗留，直接用 Shiro 的标准结构对照一遍，反而能发现现有实现里遗漏的边界情况，比如会话固定攻击的防护、权限字符串的粒度设计。带着问题看，比按顺序刷完更有效率。