shiro

token 是用户输入的，不是持久的保密的内容。

SecurityManager.login(token) 后 调用  Realm的doGetAuthenticationInfo()得到credential, SecurityManager调用其他辅助类，将token与credential对比（match）。