尚硅谷出品 Shiro视频教程 共27节课含源码打包提供

这套尚硅谷 Shiro 教程共 27 节，随课程附源码。如果只看标题，很容易把它归到"又一个权限框架入门视频"里；但真正决定它能不能帮到你的，是它把 Shiro 的认证、授权、会话管理、加密与 Web 集成这几条主线拆得够细，且每一节都能落到可运行的代码上。下面按技术栈、结构、可复用模块和自学方式四个角度说清楚它适合怎么用。

技术栈与知识边界

Shiro 是 Apache 下的 Java 安全框架，核心职责是认证（Authentication）、授权（Authorization）、会话管理（Session Management）和密码学（Cryptography）。它不依赖 Spring，可以独立跑在普通 Java 应用里，也能通过 shiro-web、shiro-spring 与 Web 容器和 Spring 整合。课程围绕这条主线展开，从最基础的 IniRealm 配置起步，逐步过渡到自定义 Realm、JdbcRealm、权限字符串与角色判断，最后进入 Web 环境下的过滤器链配置和标签库使用。源码包的存在意味着你不必靠记忆去复原配置，遇到 Realm 返回的 AuthenticationInfo、AuthorizationInfo 结构对不上，直接对照源码比对即可。

需要提前说明边界：Shiro 处理的是应用级安全，不负责 OAuth2、JWT 签发这类协议层的完整方案，也不替代 Spring Security。学它的价值在于理解权限模型本身——Subject、SecurityManager、Realm 三者怎么协作，过滤器链怎么拦截请求，会话怎么在无状态场景下退化。这些概念迁移到其他框架时同样成立。

课程结构该怎么读

27 节的体量不算大，但顺序有讲究。前几节是 HelloWorld 级别的环境搭建和第一个认证流程，目的是让你先把 Subject.login() 这条调用链跑通，而不是一上来就陷进配置细节。中间部分集中在授权：角色与权限的粒度差异、通配符权限的写法、自定义 Realm 如何从数据库或缓存取数据。后段进入 Web 集成，重点在过滤器链的定义顺序和 URL 匹配规则，这是实际项目里最容易出错的地方。

建议不要跳着看前 10 节。Shiro 的概念密度集中在前半段，SecurityManager 的构建方式、Realm 的注入时机一旦理解偏了，后面写自定义 Realm 时会反复踩同一个坑。Web 部分可以结合源码里的 web.xml 或 Spring 配置对照理解，看清过滤器是怎么挂上去的。

可复用的模块

从工程复用角度看，这套资料里真正能直接搬进项目的是几块：自定义 Realm 的骨架代码，包括 doGetAuthenticationInfo 和 doGetAuthorizationInfo 的实现模板；权限字符串的命名约定，比如"资源:操作:实例"这种三段式写法；过滤器链的配置片段，anon、authc、perms、roles 各自的适用位置；以及会话管理部分的配置项，涉及超时、存储方式和是否允许 URL 重写。这些不是完整业务代码，而是结构清晰的起点，你换成自己的数据源和权限表就能用。

源码包另一个用途是作为调试参照。Shiro 的异常信息有时比较含糊，比如认证失败只抛一个 AuthenticationException，具体是账号不存在还是密码错误，需要你在 Realm 里自己区分。对照源码看异常抛出的位置，比反复试配置快得多。

自学路径与练习方式

比较有效的做法是：每看完一节，先关掉视频，用源码里的空项目或自己新建的 Maven 工程复现一遍，跑通之后再改一处配置观察行为变化——比如把 Realm 换成 JdbcRealm，或者把某个 URL 的过滤器从 authc 改成 anon，看拦截结果有什么不同。权限部分建议自己设计一张用户-角色-权限表，把课程里的硬编码权限换成数据库读取，这一步做完，Shiro 的授权流程基本就吃透了。

复习时不要重看视频，而是翻自己写的代码和踩过的报错记录。Shiro 的坑大多集中在过滤器链顺序和 Realm 返回值上，整理一份自己的排查清单，比任何笔记都实用。27 节的内容量，按每天 2 到 3 节推进，两周内可以完成一轮实践，剩下的时间用来把权限模型接到一个真实的小项目里。