本文目录一览：
- 1、shiro权限框架怎么样
- 2、SSM框架+shiro身份认证和授权
- 3、为什么选择shiro框架，有没有考虑过其他方案
- 4、shiro框架怎么封装的
- 5、后台使用shiro框架时，怎样使用它的会话
shiro权限框架怎么样
用来保护RESTful资源不错：HTTP Authentication and Security with Apache Shiro
据说1.2版本和OAuth能够整合，但是没有看到容易整合的资料，现在OAuth应用非常广泛多，也许两者也有重叠部分。
有时Java内部自己的开源会把开发者带到一个支路，而支持众多语言的开源项目一般比较主流强壮，特别是系统接口部分的开源项目，大家采取统一权限接口，那么你的open api才可能容易被使用，否则，别人用你的API还要研究一下你的特殊权限验证过程，而都采取OAuth，那么新浪微博搞定，腾讯也搞定，google也搞定。
SSM框架+shiro身份认证和授权
一般是Controller，然后去触发login操作。
推荐一套完整的Shiro Demo，免费的。
Shiro介绍文档：
Demo已经部署到线上，地址是
管理员帐号：admin，密码：sojson.com 如果密码错误，请用sojson。PS：你可以注册自己的帐号，然后用管理员赋权限给你自己的帐号，但是，每20分钟会把数据初始化一次。建议自己下载源码，让Demo跑起来，然后跑的更快。
为什么选择shiro框架，有没有考虑过其他方案
Shiro提供安全框架界独一无二的东西：一个完整的企业级Session 解决方案，可以为任意的应用提供session支持，包括web和非web应用，并且无需部署你的应用程序到Web 容器或使用EJB容器。
shiro框架怎么封装的
.自定义token 或者用shiro提供的token封装身份（username）和密钥（password）
2.自定义自己realm（用于身份验证和授权）
3.调用subject.login方法或者基于表单的身份验证
有的可能还需要做自己的过滤器，比如无状态访问方式
后台使用shiro框架时，怎样使用它的会话
可以看看开涛的shiro，操作步骤一般如下：
1.自定义token 或者用shiro提供的token封装身份（username）和密钥（password）
2.自定义自己realm（用于身份验证和授权）
3.调用subject.login方法或者基于表单的身份验证
有的可能还需要做自己的过滤器，比如无状态访问方式