依賴shiro的maven座標：

            <dependency>  
	            <groupId>org.apache.shiro</groupId>  
	            <artifactId>shiro-core</artifactId>  
	            <version>${shiro.version}</version>  
	        </dependency>  
	        <dependency>  
	            <groupId>org.apache.shiro</groupId>  
	            <artifactId>shiro-web</artifactId>  
	            <version>${shiro.version}</version>  
	        </dependency>  
	        <dependency>  
	            <groupId>org.apache.shiro</groupId>  
	            <artifactId>shiro-cas</artifactId>  
	            <version>${shiro.version}</version>  
	        </dependency>  
	        <dependency>  
	            <groupId>org.apache.shiro</groupId>  
	            <artifactId>shiro-spring</artifactId>  
	            <version>${shiro.version}</version>  
	  	    </dependency>
		    <dependency>  
		        <groupId>org.apache.shiro</groupId>  
		        <artifactId>shiro-ehcache</artifactId>  
		        <version>1.2.0</version>  
		    </dependency> 
	  	    <!-- ehcache -->
	  	    <dependency>  
		        <groupId>net.sf.ehcache</groupId>  
		        <artifactId>ehcache-core</artifactId>  
		        <version>2.5.3</version>  
	 	    </dependency>  
 

在web.xml中新增shiro的filter

<!-- Shiro filter-->  
	<filter>  
	    <filter-name>shiroFilter</filter-name>  
	    <filter-class>  
	        org.springframework.web.filter.DelegatingFilterProxy  
	    </filter-class>  
	</filter>  
	<filter-mapping>  
	    <filter-name>shiroFilter</filter-name>  
	    <url-pattern>/*</url-pattern>  
	</filter-mapping> 
 

新增shiro的xml配置檔案applicationContext-shiro.xml

<beans xmlns="http://www.springframework.org/schema/beans"  
    xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance"  
    xsi:schemaLocation="http://www.springframework.org/schema/beans http://www.springframework.org/schema/beans/spring-beans-4.0.xsd"> 

<!-- shiroFilter Bean的id 必須和web.xml中配置的filter的name一直  --> 
 <bean id="shiroFilter" class="org.apache.shiro.spring.web.ShiroFilterFactoryBean">    
        <property name="securityManager" ref="securityManager" />  
<!--loginUrl 沒有登入的使用者請求需要登入的頁面時自動跳轉到登入頁面，不是必須的屬性，不輸入地址的話會自動尋找專案web專案的根目錄下的”/login.jsp”頁面。 -->  
 <property name="loginUrl" value="/login" />  
<!--successUrl 登入成功預設跳轉頁面，不配置則跳轉至”/”。如果登陸前點選的一個需要登入的頁面，則在登入自動跳轉到那個需要登入的頁面。不跳轉到此。-->  
 <property name="successUrl" value="/login/loginSuccessFull" />  
<!--unauthorizedUrl：沒有許可權預設跳轉的頁面。-->    
        <property name="unauthorizedUrl" value="/login/unauthorized" />   
<!-- 這個就是許可權路徑過濾  會在下面單獨列出來 -->   
        <property name="filterChainDefinitions">    
            <value>    
                /home* = anon    
                / = anon    
                /logout = logout    
                /role/** = roles[admin]    
                /permission/** = perms[permssion:look]    
                /** = authc    
            </value>    
        </property>    
    </bean>  
<!-- 配置securityManager -->  
<bean id="securityManager" class="org.apache.shiro.web.mgt.DefaultWebSecurityManager">    
<!-- 單realm應用。如果有多個realm，使用‘realms’屬性代替 -->    
    <property name="realm" ref="sampleRealm" />    
    <property name="cacheManager" ref="cacheManager" />  <!-- 快取配置，叢集環境慎用 -->  
</bean>   
<bean id="cacheManager" class="org.apache.shiro.cache.ehcache.EhCacheManager" />  
<!-- 一個簡單的jdbcRealm -->  
<bean id="sampleRealm" class="org.apache.shiro.realm.jdbc.JdbcRealm">    
    <property name="dataSource" ref="dataSource" />  
    <!-- dataSource資料來源，可以引用spring中配置的資料來源 -->  
    <property name="authenticationQuery"  value="select t.password from my_user t where t.username = ?" />  
    <!-- authenticationQuery登入認證使用者的查詢SQL，需要用登入使用者名稱作為條件，查詢密碼欄位。 -->   
    <property name="userRolesQuery"  value="select a.rolename from my_user_role t left join my_role a on t.roleid = a.id where t.username = ? " />    
    <!-- userRolesQuery使用者角色查詢SQL，需要通過登入使用者名稱去查詢。查詢角色欄位 -->   
    <property name="permissionsQuery"  value="SELECT B.PERMISSION FROM MY_ROLE T LEFT JOIN MY_ROLE_PERMISSION A ON T.ID = A.ROLE_ID LEFT JOIN MY_PERMISSION B ON A.PERMISSION = B.ID WHERE T.ROLENAME = ? " />    
    <!-- permissionsQuery使用者的許可權資源查詢SQL，需要用單一角色查詢角色下的許可權資源，如果存在多個角色，則是遍歷每個角色，分別查詢出許可權資源並新增到集合中。 -->  
    <property name="permissionsLookupEnabled" value="true" />  
    <!-- permissionsLookupEnabled預設false。False時不會使用permissionsQuery的SQL去查詢許可權資源。設定為true才會去執行。-->    
    <property name="saltStyle" value="NO_SALT" />    
    <!-- saltStyle密碼是否加鹽，預設是NO_SALT不加鹽。加鹽有三種選擇CRYPT,COLUMN,EXTERNAL。這裡按照不加鹽處理。 -->  
    <property name="credentialsMatcher" ref="hashedCredentialsMatcher" />   
    <!-- credentialsMatcher密碼匹配規則 -->   
</bean>    
<bean id="hashedCredentialsMatcher"    
    class="org.apache.shiro.authc.credential.HashedCredentialsMatcher">    
        <property name="hashAlgorithmName" value="MD5" />  
        <!-- hashAlgorithmName必須的，沒有預設值。可以有MD5或者SHA-1，如果對密碼安全有更高要求可以用SHA-256或者更高。這裡使用MD5 -->    
        <property name="storedCredentialsHexEncoded" value="true" />  
        <!-- storedCredentialsHexEncoded預設是true，此時用的是密碼加密用的是Hex編碼；false時用Base64編碼 -->    
        <property name="hashIterations" value="1" />  
        <!-- hashIterations迭代次數，預設值是1。 -->    
</bean> 
</beans>   
 

官方給出的內建許可權過濾器（有兩種）
第一種:認證過濾器
anon org.apache.shiro.web.filter.authc.AnonymousFilter
anon 表示可以匿名使用。(即無許可權控制)
authc org.apache.shiro.web.filter.authc.FormAuthenticationFilter
authc表示需要認證(登入)才能使用
user org.apache.shiro.web.filter.authc.UserFilter
user 表示必須存在使用者，當登入操作時不做檢查      
---------注意user和authc不同：當應用開啟了rememberMe時,使用者下次訪問時可以是一個user,但絕不會是authc,因為authc是需要重新認證的
authcBasic org.apache.shiro.web.filter.authc.BasicHttpAuthenticationFilter
authcBasic 表示httpBasic認證
第二種:授權過濾器
perms org.apache.shiro.web.filter.authz.PermissionsAuthorizationFilter
perms 引數可以寫多個，多個時必須加上引號，並且引數之間用逗號分割，例如/admins/user/**=perms["user:add:*,user:modify:*"]，當有多個引數時必須每個引數都通過才通過，想當於isPermitedAll()方法。


port org.apache.shiro.web.filter.authz.PortFilter
port 當請求的url的埠不是指定埠是跳轉到schemal://serverName:指定埠?queryString,其中schmal是協議http或https等，serverName是你訪問的host,指定埠是url配置裡port的埠，queryString


rest org.apache.shiro.web.filter.authz.HttpMethodPermissionFilter
rest這個暫時沒有理解，理解後過來進行修改
roles org.apache.shiro.web.filter.authz.RolesAuthorizationFilter
roles 引數可以寫多個，多個時必須加上引號，並且引數之間用逗號分割，當有多個引數時，例如admins/user/**=roles["admin,guest"],每個引數通過才算通過，相當於hasAllRoles()方法。


ssl org.apache.shiro.web.filter.authz.SslFilter
ssl 表示安全的url請求，協議為https