Apache Shiro Jakarta EE 兼容性问题分析及解决方案

问题背景

Apache Shiro 是一个强大且易用的Java安全框架，提供了认证、授权、加密和会话管理等功能。随着Java EE向Jakarta EE的演进，许多项目都需要迁移到Jakarta命名空间。Apache Shiro 1.13.0版本提供了Jakarta EE兼容版本，但在实际使用中发现了一个关键问题。

问题现象

在Shiro Web模块的Jakarta EE兼容版本中，虽然代码层面已经完成了从javax到jakarta命名空间的转换，但其MANIFEST.MF文件中仍然保留了javax.servlet的引用。这会导致在OSGi环境中运行时出现类加载问题，因为OSGi环境期望的是jakarta.servlet包而非javax.servlet包。

技术分析

根本原因

问题的根源在于Maven Shade插件在生成Jakarta EE兼容版本时，虽然重命名了代码中的包引用，但没有正确处理MANIFEST.MF文件中的Import-Package声明。这使得生成的JAR文件在OSGi环境中无法正确解析依赖关系。

影响范围

这个问题主要影响以下场景：

1. 在OSGi容器中部署使用Shiro Jakarta EE版本的应用
2. 任何严格依赖jakarta.servlet命名空间的现代Java EE/Jakarta EE环境

解决方案

临时解决方案

对于急需解决问题的用户，可以在Maven构建配置中添加以下Shade插件规则：

<relocation>
    <pattern>javax.annotation.security;version="\[1.3,2\)"</pattern>
    <shadedPattern>jakarta.annotation.security;version="\[2,4\)"</shadedPattern>
</relocation>
<relocation>
    <pattern>javax.servlet;version="\[4.0,5\)"</pattern>
    <shadedPattern>jakarta.servlet;version="\[5.0,6\)"</shadedPattern>
</relocation>
<relocation>
    <pattern>javax.servlet.http;version="\[4.0,5\)"</pattern>
    <shadedPattern>jakarta.servlet.http;version="\[5.0,6\)"</shadedPattern>
</relocation>

长期解决方案

Apache Shiro团队已经意识到这个问题，并计划在2.0.0版本中彻底解决。可能的长期解决方案包括：

1. 完全迁移到Jakarta EE：将源代码中的所有javax引用改为jakarta，从根本上避免转换问题
2. 专门的Jakarta EE构件：创建独立的shiro-web-jakarta和shiro-core-jakarta构件，确保依赖关系正确
3. 改进构建配置：使用更精确的bnd配置来正确生成MANIFEST.MF文件

版本兼容性说明

需要注意的是，Jakarta EE的版本号与Java EE不同。例如：

• javax.annotation.security 1.3对应jakarta.annotation.security 2.0
• javax.servlet 4.0对应jakarta.servlet 5.0

这种版本号的变化在迁移时需要特别注意，否则可能导致运行时错误。

结论

Apache Shiro团队正在积极解决Jakarta EE兼容性问题。对于当前版本的用户，可以使用临时解决方案；对于新项目，建议等待2.0.0版本的发布，该版本将提供更完善的Jakarta EE支持。Jakarta EE迁移是一个复杂的过程，开发者需要关注依赖管理和版本兼容性，以确保应用能够平稳运行。