1.使用shiro框架来完成认证工作，默认情况下使用的是iniRealm，如果需要使用其他Realm，那么需要进行相关的配置。

2.ini配置文件：

[main] 部分
提供了对根对象 securityManager 及其依赖对象的配置。
配置应用程序securityManager 实例及任何其他的依赖组件（如Realms）地方

[users] 部分
允许你定义一组静态的用户账户，这在大部分拥有少数账户或用户不需要再运行时被动态的创建的环境下是很有用的。

[roles] 部分
允许你把定义在[users]部分中的角色与权限关联起来。另外，这在大部分拥有少数账户或用户不需要再运行时被动态的创建的环境下是很有用的。

[users]
zhangsan=123,role1
[roles]
role1=user:add,user:delete

3.使用jdbcRealm来完成身份认证

a）需要为jdbcRealm设置dataSource
b）在指定的dataSource所对应的数据库中有用户表users，该表中有username，password，password_salt等字段

看shiro源码的JdbcRealm类里发现有很多sql语句，需要自己根据源码的sql建立对应的表和字段

    protected static final String DEFAULT_AUTHENTICATION_QUERY = "select password from users where username = ?";
    protected static final String DEFAULT_SALTED_AUTHENTICATION_QUERY = "select password, password_salt from users where username = ?";
    protected static final String DEFAULT_USER_ROLES_QUERY = "select role_name from user_roles where username = ?";
    protected static final String DEFAULT_PERMISSIONS_QUERY = "select permission from roles_permissions where role_name = ?";
    private static final Logger log = LoggerFactory.getLogger(JdbcRealm.class);
    protected DataSource dataSource;
    protected String authenticationQuery = "select password from users where username = ?";
    protected String userRolesQuery = "select role_name from user_roles where username = ?";
    protected String permissionsQuery = "select permission from roles_permissions where role_name = ?";
    protected boolean permissionsLookupEnabled = false;
    protected JdbcRealm.SaltStyle saltStyle;

到数据库 shiro 下建三张表：users（用户名 / 密码）、user_roles（用户 / 角色）、roles_permissions（角色 / 权限）

代码部分：
pom：

<dependencies>
    <dependency>
      <groupId>junit</groupId>
      <artifactId>junit</artifactId>
      <version>4.11</version>
      <scope>test</scope>
    </dependency>
    <dependency>
      <groupId>commons-logging</groupId>
      <artifactId>commons-logging</artifactId>
      <version>1.1.3</version>
    </dependency>
    <dependency>
      <groupId>org.apache.shiro</groupId>
      <artifactId>shiro-core</artifactId>
      <version>1.2.2</version>
    </dependency>
    <dependency>
      <groupId>mysql</groupId>
      <artifactId>mysql-connector-java</artifactId>
      <version>5.1.25</version>
    </dependency>
    <dependency>
      <groupId>com.alibaba</groupId>
      <artifactId>druid</artifactId>
      <version>0.2.23</version>
    </dependency>
  </dependencies>

ini:

[main]
jdbcRealm=org.apache.shiro.realm.jdbc.JdbcRealm
dataSource=com.alibaba.druid.pool.DruidDataSource
dataSource.driverClassName=com.mysql.jdbc.Driver
dataSource.url=jdbc:mysql://localhost:3306/shiro
dataSource.username=root
dataSource.password=root
jdbcRealm.dataSource=$dataSource
securityManager.realms=$jdbcRealm

[users]

验证代码：

import org.apache.shiro.SecurityUtils;
import org.apache.shiro.authc.AuthenticationException;
import org.apache.shiro.authc.UsernamePasswordToken;
import org.apache.shiro.config.IniSecurityManagerFactory;
import org.apache.shiro.mgt.SecurityManager;
import org.apache.shiro.subject.Subject;
import org.apache.shiro.util.Factory;

public class jdbcRealm_demo {
    public static void main(String[] args) {
        //1、获取SecurityManager工厂，此处使用Ini配置文件初始化SecurityManager
        Factory<SecurityManager> factory= new IniSecurityManagerFactory("classpath:shiro.ini");

        //2、得到SecurityManager实例 并绑定给SecurityUtils
        SecurityManager securityManager = factory.getInstance();
        SecurityUtils.setSecurityManager(securityManager);

        //3、得到Subject及创建用户名/密码身份验证Token（即用户身份/凭证）
        Subject subject = SecurityUtils.getSubject();

        UsernamePasswordToken token = new UsernamePasswordToken("zhangsan", "1234");

        try {
            subject.login(token);
            if(subject.isAuthenticated()){
                System.out.println("验证通过");
            }
        } catch (AuthenticationException e) {
            System.out.println("验证失败");
        }
    }
}

4.Authentication Strategy认证策略

在shiro中有三种认证策略：
AtLeastOneSuccessfulStrategy：如果一个（或更多）Realm验证成功，则整体的尝试被认为是成功的，如果没有一个验证成功，则整体尝试失败。

FirstSuccessfulStrategy：只要有一个成功的验证的Realm返回的信息将被使用，所有后面的Realm将被忽略，如果没有一个验证成功，则整体尝试失败。

AllSuccessfulStrategy：为了整体的尝试成功，所有配置的Realm必须验证成功，只要有一个验证失败，则整体尝试失败。

ModularRealmAuthenticator默认的是AtLeastOneSuccessfulStrategy实现，因为这是最常所需的方案。你可以配置不同的方案。

5.设置认证策略

shiro.ini配置

#配置验证器
authcStrategy=org.apache.shiro.authc.pam.AllSuccessfulStrategy
securityManager.authenticator.authenticationStrategy=$authcStrategy