java面试之shiro框架（权限控制）

Shiro是apache旗下的权限控制框架，有四大核心：
认证器（authenticator）、授权器(Authorizer)、会话管理中心(sessionManager)、密码管理器（Cryptography）
在项目当中我们使用shiro的时候，需要配置shirFilter、指定securityManager、登录url、非法访问的url、权限过滤规则等等，认证和授权通过自定义Realm,重写dogetAuthentication,登录认证方法以及dogetAuthorization方法，授权方法。

shiro不仅仅提供url级别的权限控制，我们还通过shiro标签hasrole、hasermisstion实现按钮级别的权限管理。
session管理这一块，我们使用spring-session实现了分布式环境下的session分离，手动开发sessionDao，重写session的增删改查方法。
shiro原理图：