安全框架顾名思义就是解决系统安全问题的框架，如果没有安全框架，我们需要手动处理每个资源的访问控制，比较繁琐。使用安全框架，可以通过配置的方式实现对资源的访问限制。今天就说一说springSecuruty和shiro。
# 什么是SpringSecurity？
Spring Security在架构上将认证与授权分离，并提供了扩展点。它是一个轻量级的安全框架，它确保基于Spring的应用程序提供身份验证和授权支持。它与Spring MVC有很好的集成 ，并配备了流行的安全算法实现捆绑在一起。
# SpringSecurity细分：
- Web/Http 安全：这是最复杂的部分。通过建立 filter 和相关的 service bean 来实现框架的认证机制。当访问受保护的 URL 时会将用户引入登录界面或者是错误提示界面。
- 业务对象或者方法的安全：控制方法访问权限的。
- AuthenticationManager：处理来自于框架其他部分的认证请求。
- AccessDecisionManager：为 Web 或方法的安全提供访问决策。会注册一个默认的，但是我们也可以通过普通 bean 注册的方式使用自定义的 AccessDecisionManager。
- AuthenticationProvider：AuthenticationManager 是通过它来认证用户的。
- UserDetailsService：跟 AuthenticationProvider 关系密切，用来获取用户信息的。
# SpringSecurity特点：
- shiro能实现的，Spring Security 基本都能实现；
- 依赖于Spring体系；
- 背景强大，因为是Spring全家桶的亲儿子。
- 集成上更加契合，在使用上，比shiro略负责
# 什么是shiro？
Apache Shiro是一个强大且易用的Java安全框架,执行身份验证、授权、密码学和会话管理。使用Shiro的易于理解的API,您可以快速、轻松地获得任何应用程序,从最小的移动应用程序到最大的网络和企业应用程序。
- Authentication 认证：验证是哪个用户登录；
- Authorization 授权：决定当前登录用户是否有权限去访问受保护的资源；
- Cryptography：通过加密算法保护数据安全；
- Session Management: 当用户使用你的应用是自身携带的数据；
- Web Integration: 虽然Shiro是设计用来确保任何基于JVM的应用，但是很多时候是用来保护Web应用。
- Integrations:可以很好的集成其他的技术和框架。
# shiro特点：
- 易于理解的 Java Security API；
- 简单的身份认证（登录），支持多种数据源（LDAP，JDBC，Kerberos，ActiveDirectory 等）；
- 对角色的简单的签权（访问控制），支持细粒度的签权；
- 支持一级缓存，以提升应用程序的性能；
- 内置的基于 POJO 企业会话管理，适用于 Web 以及非 Web 的环境；
- 异构客户端会话访问；
- 非常简单的加密 API；
- 不跟任何的框架或者容器捆绑，可以独立运行。
# 两者的共同点：
1、认证功能
2、授权功能
3、加密功能
4、会话管理
5、缓存支持
6、rememberMe功能
# 两者的区别：
1、Spring Security 基于Spring 开发，项目若使用 Spring 作为基础，配合 Spring Security 做权限更加方便，而 Shiro 需要和 Spring 进行整合开发；
2、Spring Security 功能比 Shiro 更加丰富些，例如安全维护方面；
3、Spring Security 社区资源相对比 Shiro 更加丰富；
4、Shiro 的配置和使用比较简单，Spring Security 上手复杂些；
5、Shiro 依赖性低，不需要任何框架和容器，可以独立运行.Spring Security 依赖Spring容器；
6、shiro 不仅仅可以使用在web中，它可以工作在任何应用环境中。在集群会话时Shiro最重要的一个好处或许就是它的会话是独立于容器的。
