具体要看权限控制到什么程度，简单的单纯用spring mvc 也能行，就是麻烦，什么都要自己写。如果写不好，以后也不好扩展，安全性得不到保证。apache shiro的话，简单，易用，功能也强大，spring官网就是用的shiro，可见shiro的强大。shiro不仅支持web项目，还支持非web项目，和spring可以可以整合。spring security功能更强大，但是比shiro复杂，学习成本高，
