尚硅谷出品 Shiro视频教程 共27节课含源码打包提供

尚硅谷这套 Shiro 教程在网上的流传版本不少，27 节、带源码，属于那种「体量不大但结构完整」的类型。它不适合当成一门从零到架构的体系课来看，更适合已经写过 Java Web 项目、但对权限这块一直是「照抄配置、说不清原理」的人拿来补课。Shiro 本身在 Spring Security 面前声量偏弱，可它的概念模型干净——Subject、SecurityManager、Realm 三层分得清楚，学完再去碰 Spring Security 或自研鉴权，脑子里不会是一团浆糊。

课纲的实际分量：27 节能铺到什么程度

27 节是个尴尬又真实的数字。少于 20 节讲不透认证授权的完整链路，多于 40 节又会掺进大量后台管理系统的业务代码。这套课的量刚好卡在「能把 Shiro 自身讲完」的位置：HelloWorld 起步，接着是 SecurityManager 与 Subject 的关系、Realm 的自定义实现、认证流程、授权流程、INI 配置与注解式鉴权，最后用一个小型 Web 集成收尾。

换句话说，它讲的是 Shiro 这个框架本身，而不是「怎么给某个商城后台加权限」。这一点决定了它的复用价值——你换任何项目，Realm 的写法、过滤器链的配置逻辑都是通的。

哪些章节值得反复看

按含金量排，重点集中在三块。

• 认证与授权的主流程：Shiro 最容易被误读的地方是「谁调用了谁」。Subject.login 之后到底经过了哪些环节、Realm 是在哪一步被回调的、认证失败抛的是哪类异常，这几节是全课的骨架。看的时候建议顺着调用链自己画一遍时序，比记配置有用得多。
• 自定义 Realm：真正落到项目里，几乎必然要写自己的 Realm 去对接数据库。课里给的是最小实现，重点在于理解 doGetAuthenticationInfo 和 doGetAuthorizationInfo 各自的职责边界——很多人把授权逻辑塞进认证方法里，就是因为这两块没分清。
• 过滤器链与注解鉴权：anon、authc、perms、roles 这些内置过滤器的顺序和语义，是 Shiro 在 Web 环境里最容易出坑的地方。URL 匹配顺序错了，会出现「明明配了权限却拦不住」或「静态资源被拦截」的情况。

相对可以快进的是环境搭建和 HelloWorld 部分，如果你已经能独立跑起一个 Web 项目，这几节倍速过一遍确认依赖版本即可。

源码包怎么拆开用

配套源码的价值不在于「能跑通」，而在于「能改坏」。建议分三轮用：第一轮对照视频把代码跑起来，确认现象；第二轮故意改错，比如把 Realm 的返回值改掉、把过滤器顺序调换，观察报错信息——Shiro 的异常提示其实相当明确，学会读它能省掉大量搜索时间；第三轮把课里的示例剥掉，只保留 Realm 和配置骨架，套进自己手头任意一个练手项目里。

笔记方面，与其抄一遍目录，不如整理一张「认证链路 + 授权链路」的流程图，再把常见异常和对应原因列成对照表。这两样东西在日后排查权限问题时比任何教程都直接。

放进学习序列里的位置

Shiro 不是终点。学完这套课，你对「认证」「授权」「会话」这三个词会有具体的手感，再接 Spring Security 时不会觉得是另一门语言。如果你的目标偏后端开发，这套课可以放在学完 Servlet、准备接触框架鉴权的节点上；如果只是想做权限相关的功能开发，27 节的量两三个晚上就能过完，性价比是够的。

需要提醒的是，Shiro 的版本更新不算激进，但配置方式在新版本里有些调整，看课时留意一下示例用的版本号，别把旧写法直接搬进新项目。