UnavailableSecurityManagerException: No SecurityManager accessible to the calling code, either bound to the org.apache.shiro.util

### 解决 Shiro 中 `UnavailableSecurityManagerException` 异常

当遇到 `No SecurityManager accessible to the calling code` 的异常时，通常是因为应用程序未能正确初始化或配置 `SecurityManager`。为了有效解决此问题，可以采取以下措施：

#### 1. 配置 Spring Boot 应用程序中的 Shiro Bean

确保在 Spring Boot 应用程序上下文中定义并注册了 `SecurityManager` bean。这可以通过创建一个配置类来实现，在该类中标记为 `@Configuration` 并提供相应的bean定义。

import org.apache.shiro.mgt.DefaultSecurityManager;
import org.apache.shiro.realm.text.IniRealm;
import org.springframework.context.annotation.Bean;
import org.springframework.context.annotation.Configuration;

@Configuration
public class ShiroConfig {

    @Bean
    public DefaultSecurityManager securityManager() {
        DefaultSecurityManager manager = new DefaultSecurityManager();
        manager.setRealm(new IniRealm("classpath:shiro.ini"));
        return manager;
    }
}

上述代码片段展示了如何声明一个 `DefaultSecurityManager` 实例，并将其关联到具体的 Realm 上下文[^1]。

#### 2. 初始化静态 Singleton SecurityManager

如果应用依赖于静态访问方式，则需保证 `SecurityUtils.setSecurityManager()` 方法被调用来设置全局唯一的 `SecurityManager` 实例。可以在启动阶段完成这项工作，比如在一个监听器或者事件处理器内执行。

import org.apache.shiro.SecurityUtils;
import org.apache.shiro.mgt.DefaultSecurityManager;
import org.springframework.beans.factory.InitializingBean;
import org.springframework.stereotype.Component;

@Component
public class ShiroInitializer implements InitializingBean {

    private final DefaultSecurityManager securityManager;

    public ShiroInitializer(DefaultSecurityManager securityManager) {
        this.securityManager = securityManager;
    }

    @Override
    public void afterPropertiesSet() throws Exception {
        SecurityUtils.setSecurityManager(securityManager);
    }
}

这段代码说明了怎样利用 Spring 生命周期接口 `InitializingBean` 来确保 `SecurityManager` 被及时注入给 `SecurityUtils` 工具类。

#### 3. 检查线程绑定机制

有时即使已经设置了静态的 `SecurityManager` 单例实例，但在某些情况下仍然会抛出同样的异常。此时应考虑是否存在多线程环境下的竞争条件，即不同线程之间共享同一个 `Subject` 或者未正确传播当前用户的认证状态。对于这种情况，建议启用Shiro自带的支持自动管理ThreadLocal变量的功能。

# application.properties 文件中添加如下配置项
shiro.subjectDAO.sessionStorageEvaluator.cacheName=shiro-activeSessionsCache
shiro.subjectDAO.principalCollectionSerializer.class=com.example.MyPrincipalCollectionSerializer

以上属性可以帮助改善跨请求间的安全主体信息传递效率以及减少潜在的竞争风险[^2]。