想请教下各位前辈，使用shiro是否主要因为权限这一块，如果只需要验证登录这一块的话，使用token就完全可以了吧。
还一个就是getRolesByUserName的逻辑是根据用户名获取权限列表，
但是另一个逻辑应该是根据权限列表获取可允许操作的列表吧，getPermissionsByRoles（roles）
从开闭原则的角度来看，肯定是用Shiro更合适一些，再说，不是还有这么多方便的注解可以用吗？
你说的根据权限列表获取允许的操作，和shiro的认证、授权不是一个维度的吧，你说的是业务逻辑实现？