1. Apache Shiro 是一個強大易用的 Java 安全框架，提供了認證、授權、加密和會話管理等功能，對於任何一個應用程序，Shiro 都可以提供全面的安全管理服務。對比 Spring Security，可能沒有 Spring Security 做的功能強大，而Shiro 要簡單的多。
2. Shiro 可以非常容易的開發出足夠好的應用，其不僅可以用在 JavaSE 環境，也可以用在 JavaEE 環境。Shiro 可以幫助我們完成：認證、授權、加密、會話管理、與 Web 集成、緩存等。
3. API 也是非常簡單；其基本功能點如下圖所示：
Authentication[ɔːˌθentɪˈkeɪʃn]：身份認證 / 登錄，驗證用戶是不是擁有相應的身份；
Authorization[ˌɔːθərəˈzeɪʃn]：授權，即權限驗證，驗證某個已認證的用戶是否擁有某個權限；即判斷用戶是否能做事情，常見的如：驗證某個用戶是否擁有某個角色。或者細粒度的驗證某個用戶對某個資源是否具有某個權限；
Session Manager：會話管理，即用戶登錄後就是一次會話，在沒有退出之前，它的所有信息都在會話中；會話可以是普通 JavaSE 環境的，也可以是如 Web 環境的；
Cryptography：加密，保護數據的安全性，如密碼加密存儲到數據庫，而不是明文存儲；
Web Support：Web 支持，可以非常容易的集成到 Web 環境；
Caching：緩存，比如用戶登錄後，其用戶信息、擁有的角色 / 權限不必每次去查，這樣可以提高效率；
Concurrency：shiro 支持多線程應用的併發驗證，即如在一個線程中開啓另一個線程，能把權限自動傳播過去；
Testing：提供測試支持；
Run As：允許一個用戶假裝爲另一個用戶（如果他們允許）的身份進行訪問；
Remember Me：記住我，這個是非常常見的功能，即一次登錄後，下次再來的話不用登錄了。
記住一點，Shiro 不會去維護用戶、維護權限；這些需要我們自己去設計 / 提供；然後通過相應的接口注入給 Shiro 即可