不是呀 這兩個原理都不一樣
springsecurity 的實現原理：
核心 ：登陸驗證攔截器AuthenticationProcessingFilter 資源管理攔截器AbstractSecurityInterceptor以及AuthenticationManager、accessDecisionManager等元件來支撐。
流程：使用者登陸，會被AuthenticationProcessingFilter攔截，呼叫AuthenticationManager的實現，而且AuthenticationManager會呼叫ProviderManager來獲取使用者驗證資訊（不同的Provider呼叫的服務不同，因為這些資訊可以是在資料庫上，可以是在LDAP伺服器上，可以是xml配置檔案上等），如果驗證通過後會將使用者的許可權資訊封裝一個User放到spring的全域性快取SecurityContextHolder中，以備後面訪問資源時使用。 訪問資源（即授權管理），訪問url時，會透過AbstractSecurityInterceptor攔截器攔截，其中會呼叫FilterInvocationSecurityMetadataSource的方法來獲取被攔截url所需的全部許可權，在呼叫授權管理器AccessDecisionManager，這個授權管理器會透過spring的全域性快取SecurityContextHolder獲取使用者的許可權資訊，還會獲取被攔截的url和被攔截url所需的全部許可權，然後根據所配的策略（有：一票決定，一票否定，少數服從多數等），如果許可權足夠，則返回，許可權不夠則報錯並呼叫許可權不足頁面
shiro的實現原理：
Shiro的三個核心元件：Subject, SecurityManager 和 Realms.
Subject：即“當前操作使用者”。但是，在Shiro中，Subject這一概念並不僅僅指人，也可以是第三方程序、後臺帳戶（Daemon Account）或其他類似事物。它僅僅意味著“當前跟軟體互動的東西”。但考慮到大多數目的和用途，你可以把它認為是Shiro的“使用者”概念。 Subject代表了當前使用者的安全操作，SecurityManager則管理所有使用者的安全操作。
SecurityManager：它是Shiro框架的核心，典型的Facade模式，Shiro透過SecurityManager來管理內部元件例項，並透過它來提供安全管理的各種服務。
Realm： Realm充當了Shiro與應用安全資料間的“橋樑”或者“聯結器”。也就是說，當對使用者執行認證（登入）和授權（訪問控制）驗證時，Shiro會從應用配置的Realm中查詢使用者及其許可權資訊。
從這個意義上講，Realm實質上是一個安全相關的DAO：它封裝了資料來源的連線細節，並在需要時將相關資料提供給Shiro。當配置Shiro時，你必須至少指定一個Realm，用於認證和（或）授權。配置多個Realm是可以的，但是至少需要一個。
Shiro內建了可以連線大量安全資料來源（又名目錄）的Realm，如LDAP、關係資料庫（JDBC）、類似INI的文字配置資源以及屬性檔案等。如果預設的Realm不能滿足需求，你還可以插入代表自定義資料來源的自己的Realm實現。
不是呀 這兩個原理都不一樣
springsecurity 的實現原理：
核心 ：登陸驗證攔截器AuthenticationProcessingFilter 資源管理攔截器AbstractSecurityInterceptor以及AuthenticationManager、accessDecisionManager等元件來支撐。
流程：使用者登陸，會被AuthenticationProcessingFilter攔截，呼叫AuthenticationManager的實現，而且AuthenticationManager會呼叫ProviderManager來獲取使用者驗證資訊（不同的Provider呼叫的服務不同，因為這些資訊可以是在資料庫上，可以是在LDAP伺服器上，可以是xml配置檔案上等），如果驗證通過後會將使用者的許可權資訊封裝一個User放到spring的全域性快取SecurityContextHolder中，以備後面訪問資源時使用。 訪問資源（即授權管理），訪問url時，會透過AbstractSecurityInterceptor攔截器攔截，其中會呼叫FilterInvocationSecurityMetadataSource的方法來獲取被攔截url所需的全部許可權，在呼叫授權管理器AccessDecisionManager，這個授權管理器會透過spring的全域性快取SecurityContextHolder獲取使用者的許可權資訊，還會獲取被攔截的url和被攔截url所需的全部許可權，然後根據所配的策略（有：一票決定，一票否定，少數服從多數等），如果許可權足夠，則返回，許可權不夠則報錯並呼叫許可權不足頁面
shiro的實現原理：
Shiro的三個核心元件：Subject, SecurityManager 和 Realms.
Subject：即“當前操作使用者”。但是，在Shiro中，Subject這一概念並不僅僅指人，也可以是第三方程序、後臺帳戶（Daemon Account）或其他類似事物。它僅僅意味著“當前跟軟體互動的東西”。但考慮到大多數目的和用途，你可以把它認為是Shiro的“使用者”概念。 Subject代表了當前使用者的安全操作，SecurityManager則管理所有使用者的安全操作。
SecurityManager：它是Shiro框架的核心，典型的Facade模式，Shiro透過SecurityManager來管理內部元件例項，並透過它來提供安全管理的各種服務。
Realm： Realm充當了Shiro與應用安全資料間的“橋樑”或者“聯結器”。也就是說，當對使用者執行認證（登入）和授權（訪問控制）驗證時，Shiro會從應用配置的Realm中查詢使用者及其許可權資訊。
從這個意義上講，Realm實質上是一個安全相關的DAO：它封裝了資料來源的連線細節，並在需要時將相關資料提供給Shiro。當配置Shiro時，你必須至少指定一個Realm，用於認證和（或）授權。配置多個Realm是可以的，但是至少需要一個。
Shiro內建了可以連線大量安全資料來源（又名目錄）的Realm，如LDAP、關係資料庫（JDBC）、類似INI的文字配置資源以及屬性檔案等。如果預設的Realm不能滿足需求，你還可以插入代表自定義資料來源的自己的Realm實現。