春天的安全是值得的

Question

我一直在寻找春天的安全性,并注意到它是一个非常大的包.我想知道是否值得努力花时间来加强这一点.

spring spring 2.0+为您节省了大量时间,还是以任何方式简化了您的项目？

Answer 1

几年前我考虑将它用于 Spring 项目，并选择反对它，因为它是一个非常沉重和复杂的框架，而且它提供的灵活性并不是必须的恕我直言。（在我看来）推出我们自己的身份验证/授权的工作量更少。不要误解这意味着这是一项微不足道的努力；有效的安全从来都不是。

从风险的角度来看，我花了一些时间阅读文档后并没有深入理解它，并认为复杂性代表了配置错误的重大风险。它可能比我们构建的“更好”，但如果我们不了解如何正确使用和配置它，那么它就不会发挥其潜力。我理解的由内而外的自定义实现的（可能是“劣等的”）安全模块不太重要。

免责声明：Spring Security 当时仍被称为 Acegi，并且当前的技术很可能随着名称而改变。

Answer 2

Spring Security 2.0+是否为您节省了大量时间,还是以任何方式简化了您的项目？

对于我的项目,是的,是的.

这在很大程度上取决于您的安全要求有多简单或复杂.

• 如果您只需要做简单的事情,那么只需阅读与您的问题相关的SpringSecurity文档的一小部分即可.或者只是从样品中借用东西.

• 如果你正在做一些复杂的事情,比如与企业LDAP服务交谈或使用OpenID,那么使用SpringSecurity会比从(非弹簧)第三方库开始自己实现更简单.

根据我的经验,无论您如何实施,网站安全性都很复杂且耗时.