Spring Security vs Shiro vs Sa-Token

一句话总结：

Spring Security：大公司专业保安队，功能全面但配置复杂
Shiro：轻便灵活的安保工具包，上手简单但功能有限
Sa-Token：国产智能门禁系统，开箱即用，代码极简

对比表格（核心差异）

特性	Spring Security	Shiro	Sa-Token
学习成本	高（需要理解整套安全体系）	中（模块化设计）	低（注解驱动，API简单）
配置复杂度	复杂（XML/JavaConfig）	中等（INI配置或Java）	极简（几乎零配置）
功能覆盖	全（认证、授权、OAuth2等）	基础认证+授权	基础认证+授权+踢人下线等
代码量	多（模板代码多）	中等	少（一行注解完成校验）
社区生态	国际主流（Spring家族）	国际活跃（Apache项目）	国内活跃（Gitee高星）

类比解释：

场景：公司安保系统

Spring Security
- 像一个专业保安公司，提供 全套方案：门禁、监控、消防、访客登记。
- 但需要你 画图纸、写流程（配置复杂），适合大型集团（复杂系统）。
- 例子：配置一个OAuth2登录需要写200行代码。
Shiro
- 像一套 标准化安保工具包（门锁+摄像头+手电筒）。
- 你可以自由组合（模块化），但 高级功能要自己造轮子（如分布式会话）。
- 例子：实现"记住我"功能需要手动处理Cookie和缓存。
Sa-Token
- 像一套 智能门禁系统，喊一声"开门"就能用（注解驱动）。
- 自带 实用小功能：一键踢人下线、自动续签token、多账号体系隔离。
- 例子：踢人下线只需一行代码：StpUtil.kickout(10001);

代码对比（登录校验）

1. Spring Security

java 复制代码

@Configuration
@EnableWebSecurity
public class SecurityConfig extends WebSecurityConfigurerAdapter {
    @Override
    protected void configure(HttpSecurity http) throws Exception {
        http.authorizeRequests()
            .antMatchers("/profile").authenticated() // 登录校验
            .and().formLogin();
    }
}
// 需要搭配UserDetailsService和PasswordEncoder配置

2. Shiro

java 复制代码

// 1. 编写Shiro过滤器配置
@Bean
public ShiroFilterFactoryBean shiroFilter() {
    ShiroFilterFactoryBean filter = new ShiroFilterFactoryBean();
    filter.setFilterChainDefinitionMap(Map.of("/profile", "authc")); // 登录校验
    return filter;
}
// 2. 实现Realm类处理认证逻辑（需手动写代码）

3. Sa-Token

java 复制代码

@SaCheckLogin // 直接加注解，结束！
@GetMapping("/profile")
public String profile() {
    return "用户信息";
}

应用场景推荐

选 Spring Security ：
企业级应用、需要OAuth2/单点登录/微服务安全、深度集成Spring生态。
选 Shiro ：
小型项目、快速上手、需要灵活定制权限模型。
选 Sa-Token ：
中小型项目、追求代码简洁、需要快速实现踢人/多端登录等功能。

面试加分回答

Sa-Token 的优势：
- 独创 "无Cookie"模式（解决跨域难题）
- 自带 路由拦截鉴权（类似网关权限控制）
- 分布式会话只需引入Redis（无需额外代码）
Spring Security 的痛点：
- 学习曲线陡峭（如 SecurityContextHolder 的设计）
- 重复造轮子（如用 @PreAuthorize 时仍需手动处理权限表）
Shiro 的不足：
- 默认会话管理不适合分布式场景
- 注解功能弱（如不支持SpEL表达式）

一句话收尾

Spring Security 是航母，Shiro 是瑞士军刀，Sa-Token 是智能工具箱 ------ 根据业务规模和技术栈选最顺手的即可！