用于Web用户身份验证的Java选项

Question

我正在为公共Web应用程序寻找安全的用户登录/会话管理组件.Spring Security似乎有潜力,还有其他高质量的替代品吗？

从概念上讲,这很容易,我们目前的代码工作正常,但我宁愿使用已经公开审查过的安全漏洞代码.

需求:

• 登录
• 登出
• 安全会话令牌管理(令牌无法猜测)
• 会话到期
• Java/Tomcat支持

Answer 1

Apache Shiro，以前称为 Ki 和JSecurity，“是一个强大而灵活的开源安全框架，可以干净地处理身份验证、授权、企业会话管理和加密。” 它已经存在了一段时间（首次公开发布于 2006 年 4 月 18 日），目前位于 Apache 孵化器中。只是想我会提到它作为 Spring Security 的替代方案（尽管我自己更喜欢 Spring Security）。