首先，Shiro是一个权限框架，他可以帮助我们完成:认证、授权、加密、会话管理等功能，也有与Web集成、缓存等方便我们操作的便利功能提供
1、基本功能点如下图：
绿色部分：
Authentication:身份认证/登录，用于用户的身份验证。
Authorization:授权，即权限验证，验证用户是否有操作某个资源的权限。
Session Manager:会话管理，即用户登录后就是一次会话，在没有退出之前，它的权限信息都在会话中。
Cryptography:加密，保护数据的安全性，如密码加密存储到数据库。
蓝色部分：
Web Support:方便我们将Shiro整合到web项目中
Caching:缓存，提高验证权限效率。
Concurrency:shiro 支持多线程应用的并发验证。
Testing:提供测试支持。
Run As:允许一个用户假装为另一个用户(如果他们允许)的身份进行访问。
Remember Me:记住我，这个是非常常见的功能，即一次登录后，下次再来的话不用登录了。
2、从外部来看Shiro如何完成工作：
代码交互对象为Subject，也就是Shiro的对外API核心，代表了当前的操作用户。
所有 Subject 都绑定到SecurityManager，与Subject 的所有交互都会委托给SecurityManager。
并且SecurityManager（安全管理器）管理者所有的Subject，是Shiro的核心。
Realm域：Shiro从Realm获取安全数据(如用户、角色、权限)，就是说SecurityManager要验证用户身份需要从 Realm 获取相应的用户进行比较以确定用户身份是否合法。可以把 Realm 看成DataSource，即安全数据源。
也就是说对于我们而言，最简单的一个Shiro应用:
1、 应用代码通过Subject来进行认证和授权，而Subject又委托给SecurityManager;
2、 我们需要给Shiro的SecurityManager注入Realm，从而让SecurityManager能得到合法的用户及其权限进行判断。
3、从内部来看Shiro架构，如下图：
Subject：主体可以是任何与应用交互的“用户”。
SecurityManager：心脏，所有具体的交互都通过SecurityManager进行控制。它管理着所有Subject、且负责进行认证和授权、及会话、缓存的管理。
Authenticator：认证器，负责认证，我们可以自定义Authenticator。
Authrizer：授权器，或者访问控制器，用来决定Subject是否有权限进行相应的操作，即控制着用户能访问应用中的哪些功能。
Realm：可以有1个或多个Realm，安全实体的数据源。可以是JDBC实现，也可以是LDAP实现，或者内存实现等等，由用户提供。
注意:Shiro不知道你的用户/权限存储在哪及以何种格式存储;所以我们一般在应用中都需要实现自定义Realm。
SessionManager：Shiro管理会话实用SessionManager。Shiro 就抽象了一个Session来管理主体与应用之间交互的数据。
SessionDAO：数据访问对象，用于会话的CRUD，比如我们想把Session保存到数据库，那么可以自定义SessionDAO，通过如JDBC写到数据库。比如想把 Session放到Memcached中，可以实现自己的Memcached SessionDAO。另外SessionDAO 中可以使用Cache 进行缓存，以提高性能;
CacheManager:缓存控制器，来管理如用户、角色、权限等的缓存的。因为这些数据基本上很少去改变，放到缓存中后可以提高访问的性能。
Cryptography:密码模块，Shiro提高了一些常见的加密组件用于如密码加密/解密的。