1.用户访问服务器
2.过滤器过滤所有访问的资源，判断用户是否认证 目标位置在这里是登录验证的controller
用户登录没有认证会跳转到这个方法，此方法只判断错误信息，如果错误，会把mv打回到登录页面并显示消息；如果是正确信息，默认会调用过滤器中的回到上一个请求的页面，也就是访问网站的index页面。
3.首次登录没有session，没有认证，跳转到login页面
前端
后台 login.jsp 必须这样写：
原因：之前配置了过滤器，表单过滤器默认了参数名，不能随意更改，包括上面的异常信息的名字shiroLoginFailure
4。用户填写表单信息，点击提交，后台进行数据认证
4.1后台会调用shrio提供的抽象类AuthorizingRealm，通过继承，编写我们自己的认证方法，它提供了两个重写方法doGetAuthenticationInfo用户认证和doGetAuthorizationInfo用户授权，现在先理解用户认证。
4.2登录失败 显示密码错误
流程：通过调用上面的myRealm的验证，会将错误消息存放到request域中，参数名为shiroLoginFailure，通过判断该参数，controller知道该怎么处理错误信息。
4.3登录成功，系统默认跳转到上一次请求的页面，因为如果从login.jsp页面直接跳转到index.jsp页面是拿不到我们存放的，想要展示的数据，所以需要一个重定向来请求controller来获取数据到主页面
前台：
后台：
用户点击提交login.jsp
后台判断正确后，跳转到index页面，取不到数据，所以重定向
请求到controller，controller准备数据，将数据打到主页面上。重点是controller怎么取到数据。
first代表first.jsp页面，使用了resful风格
5.退出，好像这个是有session的，不退出之后不需要登录就可以进来了
退出不需要我们编写代码，只需要过滤器过滤就行了，在过滤器配置
原文地址：https://www.cnblogs.com/19322li/p/11105847.html