二、Shiro 的架构介绍)
首先，来了解一下 Shiro 的三个核心组件：Subject, SecurityManager 和)Realms. 如下图：
)
Subject：即“当前操作用户”。但是，在 Shiro 中，Subject 这一概念并不仅仅指人，也可以
是第三方进程、后台帐户（Daemon Account）或其他类似事物。它仅仅意味着“当前跟软
件交互的东西”。但考虑到大多数目的和用途，你可以把它认为是 Shiro 的“用户”概念。)
Subject 代表了当前用户的安全操作，SecurityManager 则管理所有用户的安全操作。)
SecurityManager：它是 Shiro 框架的核心，典型的 Facade 模式，Shiro 通过
SecurityManager 来管理内部组件实例，并通过它来提供安全管理的各种服务。)
Realm：)Realm 充当了 Shiro 与应用安全数据间的“桥梁”或者“连接器”。也就是说，当对用
户执行认证（登录）和授权（访问控制）验证时，Shiro 会从应用配置的 Realm 中查找用
户及其权限信息。)
从这个意义上讲，Realm 实质上是一个安全相关的 DAO：它封装了数据源的连接细节，并
在需要时将相关数据提供给 Shiro。当配置 Shiro 时，你必须至少指定一个 Realm，用于认
证和（或）授权。配置多个 Realm 是可以的，但是至少需要一个。)
Shiro 内置了可以连接大量安全数据源（又名目录）的 Realm，如 LDAP、关系数据库
（JDBC）、类似 INI 的文本配置资源以及属性文件等。如果缺省的 Realm 不能满足需求，
你还可以插入代表自定义数据源的自己的 Realm 实现。)
Shiro 完整架构图：)
除前文所讲 Subject、SecurityManager 、Realm 三个核心组件外，Shiro 主要组件还包括：
)
Authenticator ：认证就是核实用户身份的过程。这个过程的常见例子是大家都熟悉的“用户
/密码”组合。多数用户在登录软件系统时，通常提供自己的用户名（当事人）和支持他们
的密码（证书）。如果存储在系统中的密码（或密码表示）与用户提供的匹配，他们就被
认为通过认证。)
Authorizer ：授权实质上就是访问控制)- 控制用户能够访问应用中的哪些内容，比如资源、
Web 页面等等。)
SessionManager ：在安全框架领域，Apache Shiro 提供了一些独特的东西：可在任何应
用或架构层一致地使用 Session API。即，Shiro 为任何应用提供了一个会话编程范式)- 从
小型后台独立应用到大型集群 Web 应用。这意味着，那些希望使用会话的应用开发者，不
必被迫使用 Servlet 或 EJB 容器了。或者，如果正在使用这些容器，开发者现在也可以选
择使用在任何层统一一致的会话 API，取代 Servlet 或 EJB 机制。)
CacheManager :对 Shiro 的其他组件提供缓存支持。)
