基于java常用的用户权限架构

一、Apache Shiro

        Shiro是一个功能强大且易于使用的Java安全框架，它执行身份验证、授权、加密和会话管理。Shiro的核心架构包括Subject（主体）、SecurityManager（安全管理器）等组件。Shiro能够清晰地处理认证、授权、会话管理以及密码加密等任务，且配置和使用相对简单，依赖性低，可以独立运行，支持多线程应用的并发验证。

        Shiro适用于多种应用场景，包括JavaSE和JavaEE项目，以及Web环境。它提供了丰富的功能，如用户登录、权限验证、会话管理、加密保护等，且支持缓存机制以提高效率。

二、Spring Security

        Spring Security是Spring家族的一个子项目，它主要实现了Authentication（认证）和Access Control（访问控制，也称为Authorization）。Spring Security在架构上将认证与授权分离，并提供了扩展点，是一个轻量级的安全框架。

        它与Spring MVC有很好的集成，能够确保基于Spring的应用程序提供身份验证和授权支持。Spring Security的功能比Shiro更加丰富，特别是在安全维护方面。然而，其上手难度相对较高，配置较为复杂。

三、OAuth2

        OAuth2是一种安全授权框架，它提供了一套详细的授权机制，允许第三方应用以有限的权限访问HTTP服务。OAuth2通过构建资源拥有者与HTTP服务间的许可交互机制，让第三方应用能够代表资源拥有者访问服务，或通过授予权限给第三方应用，让其代表自己访问服务。

        OAuth2关注于如何让一个系统组件获取对另一个系统组件的访问权限，是第三方登录授权和访问控制的一种流行解决方案。

四、JWT

        JWT是一种开发标准（RFC 7519），它定义了一种紧凑的、自包含的方式，用于在各方之间以JSON对象安全地传输信息。JWT可以用于实现跨域认证和单点登录等场景，通过JSON形式作为Web应用中的令牌，在各方之间安全地传输信息。

        JWT由标头（Header）、有效载荷（Payload）和签名（Signature）三部分组成，其验证过程不需要频繁地查询数据库，提高了系统的性能。