在shiro框架中，未登入就是未認證，登陸了才算認證，認證後只能使用一些基本許可權，使用更多的許可權需要授權，認證和授權是不同的概念。

一、UserAction中的相關程式碼

public String login(){
		
		//從Session中獲取生成的驗證碼
		String validatecode = (String) ServletActionContext.getRequest().getSession().getAttribute("key");
		//校驗驗證碼是否輸入正確
		if(StringUtils.isNotBlank(checkcode) && checkcode.equals(validatecode)){
			System.out.println(user.getPassword()+user.getUsername());
			//輸入的驗證碼正確
			//使用shiro框架提供的方式進行認證授權
			Subject subject = SecurityUtils.getSubject();//獲得當前使用者,狀態為未認證
			AuthenticationToken token = new UsernamePasswordToken(user.getUsername(),user.getPassword());//建立使用者名稱密碼令牌物件
			try{
				subject.login(token);//呼叫login
			}catch(Exception e){
				this.addActionError("輸入的賬號或密碼錯誤！");
				e.printStackTrace();
				return LOGIN;
			}
			//沒有異常，驗證正確，將查詢到的user存入session
			//通過subject物件獲得繫結線上程上的user
			User getUser = (User) subject.getPrincipal();
			ServletActionContext.getRequest().getSession().setAttribute("loginUser", getUser);
			return "home";
		}else{
			//輸入的驗證碼錯誤,設定提示資訊，跳轉到登入頁面
			this.addActionError("輸入的驗證碼錯誤！");
			return LOGIN;
		}
	}
 

未認證時會呼叫這段登陸的程式碼，需要在這段程式碼中加入shiro框架，通過SecurityUtils呼叫當前使用者，並且註冊一個認證令牌

AuthenticationToken ，將使用者輸入的使用者密碼儲存在令牌中，接著呼叫當前使用者的login方法，傳入令牌，接著程式通過applicationContext.xml中配置的realm

二、資料橋樑realm的程式碼：

public class BOSRealm extends AuthorizingRealm{
	@Autowired
	private UserDao userDao;
	
	/**
	 *認證方法
	 */
	protected AuthenticationInfo doGetAuthenticationInfo(AuthenticationToken token) throws AuthenticationException {
		System.out.println("認證方法已經執行");
		//根據使用者名稱查詢資料庫中的密碼，框架負責比對資料庫中的密碼和頁面輸入的密碼是否一致
		UsernamePasswordToken tk = (UsernamePasswordToken) token;
		//獲得使用者名稱
		String username = tk.getUsername();
		//根據使用者名稱查詢資料庫
		User user = userDao.findUserByUsername(username);
		if(user == null){
			//使用者名稱不存在
			return null;
		}
		//簡單認證資訊物件
		AuthenticationInfo info = new SimpleAuthenticationInfo(user, user.getPassword(), this.getName());
		//框架負責比對資料庫中的密碼和頁面輸入的密碼是否一致
		return info;
	}
	
	/**
	 * 授權方法
	 */
	protected AuthorizationInfo doGetAuthorizationInfo(PrincipalCollection args){
		
		return null;
	}

}
 

如果賬號不存在或者密碼錯誤，都會報相應的錯誤，通過struts.xml定義全域性異常捕捉就可以返回相應的頁面或文字