Apache Shiro授权功能
授权（也称为访问控制）是确定应用程序中资源的访问权限的过程。换句话说，确定“谁有权访问什么。”授权用于回答安全问题，例如“用户是否允许编辑帐户”，“该用户是否允许查看此网页”，“该用户是否可以访问”到这个按钮？“这些都是决定用户有权访问的决定，因此都代表授权检查。
授权是任何应用程序的关键元素，但它很快就会变得非常复杂。Shiro的目标是消除授权的大部分复杂性，以便您可以更轻松地构建安全的软件。以下是Shiro授权功能的一个亮点。
特征
-
基于主题 - 您在Shiro中执行的几乎所有操作都基于当前正在执行的用户，称为主题。您可以轻松访问主题，检索主题并在代码中的任何位置检查其角色，权限或其他相关属性。这使您更容易理解并在您的应用程序中使用Shiro。
-
基于角色或权限的检查 - 由于授权的复杂性在应用程序之间存在很大差异，因此Shiro的设计灵活，支持基于角色的安全性和基于项目需求的基于权限的安全性。
-
强大而直观的权限语法 - 作为一种选择，Shiro提供了一种开箱即用的权限语法，称为通配符权限，可帮助您为应用程序可能具有的细粒度访问策略建模。通过使用Shiro的通配符权限，您将获得易于处理和人类可读的语法。此外，您无需花费时间和精力创建自己的方法来表示访问策略。
-
多个强制执行选项 - Shiro中的授权检查可以通过代码内检查，JDK 1.5注释，AOP和JSP / GSP Taglib来完成。Shiro的目标是让您根据自己的喜好和项目需求选择使用您认为最佳的选项。
-
强大的缓存支持 - 任何现代开源和/或企业缓存产品都可以插入Shiro，以提供快速有效的用户体验。对于授权，缓存对于较大环境中的性能或使用后端安全数据源的更复杂策略至关重要。
-
可插拔数据源 - Shiro使用可插拔数据访问对象（称为Realms）连接到保存访问控制信息的安全数据源，如LDAP服务器或关系数据库。为了帮助您避免自己构建和维护集成，Shiro为LDAP，Active Directory和JDBC等流行数据源提供了开箱即用的领域。如果需要，您还可以创建自己的领域，以支持基本领域中未包含的特定功能。
-
支持任何数据模型 - Shiro可以支持任何访问控制的数据模型 - 它不会强制模型。您的领域实现最终决定您的权限和角色如何组合在一起以及是否向Shiro返回“是”或“否”答案。此功能允许您以您选择的方式构建应用程序，Shiro将为您提供支持。