Shiro 的 JavaBean 兼容性使得它非常适合通过 Spring XML 或其他基于 Spring 的配置机制。Shiro 应用程序需要一个具 有单例 SecurityManager 实例的应用程序。请注意，这不会是一个静态的单例，但应该只有一个应用程序能够使用 的实例，无论它是否是静态单例的。  

Web Applications

Shiro 拥有对 Spring Web 应用程序的一流支持。在 Web 应用程序中，所有 Shiro 可访问的万恶不请求必须通过一个 主要的 Shiro 过滤器。该过滤器本身是极为强大的，允许临时的自定义过滤器链基于任何 URL 路径表达式执行。   在 Shiro 1.0 之前，你不得不在 Spring web 应用程序中使用一个混合的方式，来定义 Shiro 过滤器及所有它在 web.xml 中的配置属性，但在 Spring XML 中定义 SecurityManager。这有些令人沮丧，由于你不能把你的配置固定在一个地方， 以及利用更为先进的 Spring 功能的配置能力，如 PropertyPlaceholderConfigurer 或抽象 bean 来固定通用配置。   现在在 Shiro 1.0 及以后版本中，所有 Shiro 配置都是在 Spring XML 中完成的，用来提供更为强健的 Spring 配置机制。   以下是如何在基于 Spring web 应用程序中配置 Shiro：  

web.xml

除了其他 Spring web.xml 中的元素（ContextLoaderListener，Log4jConfigListener 等等），定义下面的过滤器及过滤器 映射：

applicationContext.xml 在你的 applicationContext.xml 文件中，定义 web 支持的 SecurityManager 和'shiroFilter' bean 将会被 web.xml 引用

Enabling Shiro Annotations

在独立应用程序和 Web 应用程序中，你可能想为安全检查使用 Shiro 的注释（例如，@RequiresRoles， @RequiresPermissions 等等）。这需要 Shiro 的 Spring AOP 集成来扫描合适的注解类以及执行必要的安全逻辑。   以下是如何使用这些注解的。只需添加这两个 bean 定义到 applicationContext.xml 中：

 

 

Secure Spring Remoting

Shiro 的 Spring 远程支持有两部分：配置客户端远程调用和配置服务器接收及处理远程调用。

 

Server-side Configuration 、

当一个远程调用方法到达启用 Shiro 的服务器时，与该 RPC 调用关联的 Subject 在线程执行时必须绑定到访问的接收 线程。这是通过在 applicationContext.xml 中定义 SecureRemotInvocationExecutor bean 来完成的

当你定义这个 bean 之后，你必须将其插入到任何你正在用来 export/expose 你服务的远程 Exporter。Exporter 实现 是根据使用的远程处理机制/协议来定义的。请参阅 Sping 的 Remoting 章节关于定义 Exporter bean 的内容。   例如，如果使用基于 HTTP 的远程调用（注意 secureRemoteInvocationExecutor bean 的相关属性）：

Client-side Configuration

 当远程调用被执行后，Subject 的识别信息必须附加到远程调用的负载上使服务器知道是谁作出了该调用。若客户端 是一个基于 Spring 的客户端，该关联是通过 Shiro 的 SecureRemoteInvocationFactory 来完成的：

在你定义好这个 bean 后，你需要将它插入到你正在使用的基于特定协议的 Spring remoting ProxyFactoryBean 中。   例如，如果你正在使用基于 HTTP 的远程调用（注意上面定义的 secureRemoteInvocationFactory bean 的相关属性）：