Shiro，一个易用的Java安全框架，主要集合身份认证、授权、加密和session管理的功能。
这系文章主要简介Shiro架构，并通过官方的quickstart例程分析最简实现下Shiro的工作流程及其源码
(1-初始化)主要由从零到获取一个subject
本文使用的是shiro 1.3.2版本,配合源码食用更佳~
它的架构如下
Subject：与框架交互的实体(Entity)的安全视图(security-specific ‘view’)，这个实体可以是用户、第三方应用、定时任务(cron job)等
SecurityManager：是Shiro的框架核心，协调设置内部组件对外提供统一的对象视图，一旦Shiro对外提供Subject后外部基本上只需要对Subject进行交互，而不需要管理内部机制。在简化的概念下调用者只需关心Subject、SecurityManager、Realm三者就可以轻松地使用shiro ，这体现了其极好的封装性。
Realms：上面谈到的Realm是Shiro连接应用安全信息数据（即用户的密码、权限等信息）的组件，类似于DAO层，Realms自身提供JDBC、LDAP、文本等Realm实现，也可以根据需要继承对应接口实现自定义数据源
Authenticator：用户身份验证组件，用户尝试登陆时，会通过Authenticator进行验证，它调用Realms并通过一定策略(Authentication Strategy)来确认用户身份的真实性。
Authorizer：在确认用户登录后，权限验证的组件。同样它会调用Realm获得安全数据来判断用户对资源的权限。
SessionManager：shiro自身维护了一套session管理组件，它并不单纯依赖WEB/Servlet/EJB容器等环境，即它可以独立使用，在WEB环境下或者普通应用环境下，可以理解为将session概念复用到了一般应用环境。另外，组件还可拔插地支持SessionDAO实现session的持久化及应用的分布式，外接mysql或redis等数据库
CacheManager：缓存方面提供了CacheManager、Cache、CacheManagerAware三个接口和一个基于内存的实现类MemoryConstrainedCacheManager，可以自己实现类来实现其他诸如Hazelcast, Ehcache, OSCache, Terracotta的支持，官方可能有前两个缓存的支持计划（官方文档显示TBD~~）。需要注意的是，在使用缓存情况下，改变User的安全权限后务必使用clearCachedAuthorizationInfo方法删除现用缓存以避免不同步的情况。
Cryptography：加密支持组件。shiro提供了便携的加密算法类实现一般的哈希功能，可用在用身份确认时来源密码hash与realms中数据校验
以上是Shiro的架构概况，下面结合一个官方demo来阐述Shiro运行流程
1-首先是获得Subject的过程
1.1首先，获得一个产生SecurityManager工厂
Factory<SecurityManager> factory = new IniSecurityManagerFactory("classpath:shiro.ini");IniSecurityManagerFactory的参数是ini文件的路径，它是一个支持ini文件作为realms数据源的SecurityManager工厂类
SecurityManager的继承关系如下，AbstractFactory则实现了Factory接口
在构建工厂实例时，使用了构造器IniSecurityManagerFactory(String iniResourcePath)，其中调用了以下构造器
public IniSecurityManagerFactory(Ini config) { this(); setIni(config); }