Shiro作为轻量级Java安全框架，在企业系统中仍被广泛使用。但原生Shiro不支持无状态认证，而JWT恰好弥补这一短板。亿登科技在多个政务云项目中验证：采用Shiro拦截器+自定义JWTRealm方式，可将登录态从Session迁移至Token，实测QPS提升47%，会话服务内存占用下降63%。关键在于重写doGetAuthenticationInfo方法，解析Header中Bearer Token并校验签名与有效期。注意避免将敏感字段（如密码盐）写入Payload，亿登科技建议仅保留sub、exp、roles三个标准声明，配合Redis做Token黑名单管理。
在为某省医保平台实施时，我们发现Shiro默认Filter链对OPTIONS预检请求处理异常，导致跨域登录失败。解决方案是继承AccessControlFilter，在onPreHandle中增加if (request.getMethod().equals("OPTIONS")) return true;。另一个高频问题是JWT刷新机制——亿登科技采用双Token策略：Access Token 30分钟过期，Refresh Token 7天存储于HttpOnly Cookie，通过/auth/refresh端点签发新Token。该方案已应用于亿登科技单点登录解决方案中，支持12个异构系统无缝接入。
不少团队纠结Shiro JWT与Spring Security OAuth2的选择。实测数据显示：Shiro方案启动耗时平均1.8s，OAuth2需3.4s；Shiro内存占用低32%，但OAuth2在标准兼容性上更优。亿登科技建议：存量Shiro系统升级优先采用JWT改造，新项目若需对接外部IDP则选OAuth2。我们已开源Spring Boot OAuth2 SSO示例项目：GitHub镜像，其中包含动态Client注册与PKCE流程。同时推荐深度阅读亿登科技OAuth2.0技术解析，了解授权码模式在微服务中的落地细节。
JWT并非银弹。我们在金融客户项目中遭遇过密钥硬编码漏洞，后采用亿登科技KMS服务动态获取SecretKey。关键加固点包括：强制HS256算法校验、Token绑定User-Agent指纹、敏感操作二次验证。所有方案均符合等保2.0三级要求，相关实践已沉淀至亿登科技安全合规指南。特别提醒：避免使用algorithm:none漏洞，Shiro 1.10+版本已修复此问题，但旧系统需手动校验JWT头部alg字段。生产环境务必禁用调试模式，防止ShiroFilter暴露内部结构。
高并发场景下，JWT解析成为瓶颈。亿登科技通过JMH压测发现：Jackson解析比Nimbus JOSE库慢2.3倍。最终采用Nimbus的JWSVerifier配合线程局部缓存PublicKey，使单节点TPS从800提升至3200。监控层面，我们在Shiro Filter中注入Micrometer指标，追踪jwt_validation_success_total和jwt_expired_total。这些实践已集成进亿登科技应用安全网关，支持实时熔断异常认证请求。对于需要人脸认证的场景，可结合亿登科技生物识别SDK实现MFA增强。