本文目录一览：
我是用shiro做安全框架,可是现在有个需求是用手机验证码进行登录...
要快速上手Shiro，首先要理解其核心的三个概念。通过配置安全管理器SecurityManager，再继承AuthorizingRealm并实现认证和授权两个方法，就能开始基础使用。这包括引入Shiro依赖，配置SecurityManager，以及定制认证和授权过程。引入Shiro依赖后，配置过程涉及创建一个Shiro配置类，其中的Filter顺序很重要。
解决思路由于在我的springboot后台***用的shiro+Jwt安全框架，所以会在登录之后反馈给前端一个token，并且前端会将该token进行存储，所以我是去查找浏览器中是否存在token，如果浏览器中存在token，则说明登录成功，可以访问相关页面；如果没有token则说明没有登录，j就跳转到登录页面。
Shiro是一个安全框架。Shiro是一个强大且易用的Java安全框架，它提供了认证、授权、加密和会话管理等功能。它能够帮助开发者快速集成安全特性到应用中，保护用户数据和系统资源。Shiro框架独立于任何特定的应用服务器或框架，因此它可以轻松地与各种Java应用进行整合。
Padding Oracle Attack原理 Padding Oracle攻击可以在没有密钥的情况下加密或解密密文 Shiro Padding Oracle Attack（Shiro填充Oracle攻击）是一种针对Apache Shiro身份验证框架的安全漏洞攻击。Apache Shiro是Java应用程序中广泛使用的身份验证和授权框架，用于管理用户会话、权限验证等功能。
Shiro的Subject创建的内部流程
综上所述，Shiro的Subject创建内部流程涉及从当前线程获取或创建Subject，通过Builder设计模式构建实例，由SecurityManager实现创建逻辑，最终在DefaultSecurityManager类中完成Subject实例的创建，以及通过DelegatingSubject类实现认证功能。这一系列过程确保了Shiro在认证和授权方面的高效和灵活。
认证执行流程 通过ini配置文件创建securityManager 调用subject.login方法主体提交认证，提交的token securityManager进行认证，securityManager最终由ModularRealmAuthenticator进行认证。
Shiro的内部架构分为外部和内部视角。外部视角中，Subject与SecurityManager和Realm的交互清晰明了。内部结构里，SecurityManager是心脏，管理所有Subject，同时负责认证、授权和会话管理，Authenticator和Authrizer分别负责验证和权限控制。
**身份验证流程 认证涉及三个步骤：收集Subject提交的Principals和Credentials，验证并根据AuthenticationStrategy的策略进行身份验证，成功则允许访问，否则可能需要重试或阻止。 **授权与访问控制 Shiro通过权限、角色和用户来实现授权，允许管理对资源的访问。
打开Builder发现它是Subject接口的内部类。Builder内部维护了SecurityManager并且在初始化的时候，调用了SecurityUtils的getSecurityManger类，给securityManger赋值了。然后在buildSubject方法中调用了securityManger的createSubject方法去创建Subject。
怎么获取shiro中的session对象
1、在登录的方法中，调用了subject.login（token）后，还要手动利用principal和realmName构造SimpleAuthenticationInfo对象，其实这里的pricipal是一个Object，就是我们的带有username属性的实体对象，然后将SimpleAuthenticationInfo对象存放在session中。
2、Shiro提供灵活的会话管理，包括创建、验证和超时，SessionListener允许自定义处理重要会话事件。Session通常存储在缓存中以保证时效性。 **Realm与数据源集成 Realm是Shiro获取安全数据的接口，开发者需自定义实现，连接到数据库、文件或NoSQL等数据源，以提供用户、角色和权限信息。
3、背景 在本地session移至redis存储时，原本以为引入spring-session-data-redis依赖，配置RedisHttpSessionConfiguration，在web.xml中引入springSessionRepositoryFilter就结束了，没想到遇到序列化相关的问题，具体就是只有getter，没有setter。
