Apache Shiro对我的情况来说是正确的选择吗？

Question

我正在尝试实现一个模块化的身份验证/授权应用程序。我想知道Shiro是否是正确的选择。我想得到的是有一个系统，我可以插入其中，也许以后可以交换一些身份验证endpoint和授权endpoint。我希望能够使用shiro进行身份验证（例如，我将为shiro实现facebook插件，或为shiro实现ldap插件，我可以轻松地将其插入我的身份验证/授权应用程序）。我还可能希望使用不同于shiro的框架来实现授权。

我想知道带有自定义会话以及主题和领域的shiro是否能够做我所描述的事情？目前我认为Shiro是非常动态的框架，它允许做这样的事情，但我可能错了，因为我以前从未使用过。自定义身份验证模块（imo）可能会作为新领域插入，但我不确定这是否可以在授权下使用？

我也不明白当我想对web应用程序设置限制时，如何使用shiro角色和权限系统，例如，我想对给定的url/url组设置限制。我认为实现这一点的唯一方法是创建一个自定义映射器，将给定角色映射到权限。例如，在某些数据库中，我将拥有所有URL，在单独的表中，我将拥有角色列表。然后，我将为每个角色添加一组URL。我不知道如何使用shiro权限系统来实现URL限制。

请告诉我shiro是不是一个好的选择，或者我应该进入其他框架（可能是spring security？）

Answer 1

我现在处于你的位置，我必须在Shiro和Spring Security之间做出选择。

我能够用这两种工具实现您所描述的内容，但到目前为止，我所了解到的是，SS有一个更松散耦合的体系结构，因此更易于扩展到您的特定需求，并且更易于自定义。

我的观点背后的一个原因是，使用SS实现我需要的某些特性，即角色的访问策略，要容易得多。

所以在Shiro、SS、Heras、OACC、OWASP之间。。。Shiro是第二种解决方案，SS将是第一种。