小D课堂

解决什么问题

在真实的企业级后端开发中，权限管理往往是系统复杂度最高的模块之一。很多开发者虽然会使用 SpringBoot 搭建业务接口，但面对角色控制、资源隔离、会话保持等需求时，往往需要从零编写大量冗余代码，且难以兼顾安全性与扩展性。这门课程聚焦于 Apache Shiro，旨在解决后端开发中「权限体系怎么搭、源码原理怎么懂、复杂场景怎么处理」三大核心痛点。

Shiro 作为 Java 生态中最轻量级但功能完备的权限框架，其设计哲学与 Spring Security 截然不同：它不依赖 Spring 容器即可独立运行，架构清晰，便于二次开发。通过本课程，你将不再局限于 CRUD 接口开发，而是能够深入理解认证（Authentication）、授权（Authorization）和会话管理（Session Management）的底层机制，从而构建出具备生产级健壮性的安全模块。

适合人群与前导建议

本课程对基础有明确要求，适合已经掌握 Java Web 基础、熟悉 Servlet/Filter 机制，并且有过 SpringBoot 实际开发经验的开发者。如果你还停留在只会用注解写 Controller 的阶段，建议先补齐 JavaWeb 底层原理，因为 Shiro 的 FilterChain 与 Spring MVC 的 DispatcherServlet 有着本质的映射关系，理解这一点是后续学习的关键。

建议的学习路径如下：首先快速回顾 Shiro 的核心三大组件——Subject、SecurityManager 和 Realm，这是所有后续知识的基石；接着重点攻克「RBAC+ACL 权限模型」的理论设计，明确基于角色的访问控制与基于访问控制列表的区别及适用场景；然后进入代码实战，动手实现自定义 Realm 和 Shiro Filter 链的配置。对于有经验的读者，可以跳过分发式缓存的基础讲解，直接聚焦于 Shiro 与 Redis 集成以及源码级别的 SecurityManager 执行流程分析。

学后目标与资料配合

完成本课程内容后，你将具备独立设计并落地一套完整权限体系的能力。具体表现为：能够熟练搭建 Shiro 项目，实现登录认证、动态权限校验和会话超时控制；能够针对特定业务场景定制自定义 Realm 以实现数据库或 LDAP 认证对接；能够读懂 Shiro 的核心源码，理解过滤器链的执行顺序，从而排查复杂的权限异常问题。

配套资料中的综合案例是检验学习成果的核心环节，切勿只看不练。建议采用「对照文档 - 手写代码 - 调试源码」的三步法进行练习：先根据课程思路搭建 SpringBoot2.x + Shiro 的骨架，再逐一实现认证授权逻辑，最后在遇到瓶颈时结合源码解读章节，通过断点调试追踪 SecurityUtils.getSubject() 到 Realm 查询的完整调用栈。这种工程化的实践方式，能帮助你真正将 Shiro 的内化为自己技术栈的一部分，而非仅仅记住几个 API 调用。