Podstawy uwierzytelniania i autoryzacji dla aplikacji WWW Java

Question

Programuję aplikację internetową przy użyciu Java EE, JSF i Hibernate. Nie używam Springa ani EJB! Teraz jestem w punkcie, w którym można wdrożyć uwierzytelnianie i autoryzację. Potrzebuję dostępu do Active Directory lub LDAP. Chcę zaimplementować własne role, które nie są pobierane z AD/LDAP.

Moje pytanie brzmi: Jaki jest najłatwiejszy sposób realizacji? Czy powinienem używać frameworków takich jak JAAS/Apache Shiro? A który z nich jest najlepszy dla moich intencji?

O małej koncepcji roli: planowałem skonfigurować plik właściwości, w którym mogę skonfigurować role. Mam tylko kilka ról, więc wielka koncepcja nie jest taka potrzebna ?!

Jestem bardzo zadowolony z wszelkich zaleceń lub sugestii.

Answer 1

To na pewno nie jest prawdą, że „Wiosna Bezpieczeństwo jest jednym z najbardziej wszechstronny auth/auth dostawca jest "- to po prostu bezpodstawny szum.

Apache Shiro może obsługiwać więcej przypadków użycia niż Spring Security, choćby dlatego, że SS nie obsługuje zarządzania sesjami w przedsiębiorstwie lub ma uproszczoną kryptografię po wyjęciu z pudełka (robi to Shiro). Shiro obsługuje także znacznie dokładniejszy model bezpieczeństwa po wyjęciu z pudełka (np. Shiro's WildcardPermission). Shiro robi także LDAP i Active Directory. Zauważ też, że Shiro zostało zbudowane od samego początku z podstawami architektonicznymi do pracy w dowolnym środowisku aplikacji, nie tylko Spring (ale na pewno sprawdza się w aplikacjach Spring). Tego samego nie można powiedzieć o Spring Security (był on pierwotnie zbudowany tylko dla aplikacji Spring).

Jeśli chodzi o niewielką liczbę użytkowników i/lub ról, można to łatwo zrobić w telefonie shiro.ini file. Na przykład:

[main] 
... 
[users] 
jsmith = password, role1 
ajones = anotherPassword, role1, role2 

[roles] 
role1 = perm1, perm2, ..., permN 
role2 = permA, permB, ..., permZ 

Pod koniec dnia, zarówno Apache Shiro i wiosna są wielkie ramy bezpieczeństwa - zarówno dobrze stanąć na własnych zasług. Twój wybór powinien być oparty na których jeden pasuje do Twojego modelu psychicznego lepiej (które interfejsy i klasy więcej sensu? Które jest łatwiejsze do zrozumienia i zastosowania?)

Wiwaty,

Les

Answer 2

Niezależnie od tego, czy używasz pojemnika sprężynowego do swojej aplikacji, czy nie (powinieneś :-)), Spring Security jest najbardziej wszechstronnym dostawcą auth/auth. Oto a brief overview of what it can do.

(można użyć bezpieczeństwa sprężynowy nawet jeśli nie używać sprężynę do końca swojej aplikacji)

Answer 3

Uczyłem się trochę i lubię Apache Shiro. Mam problem nie ma dobrych tutoriali czy HOWTO ...

Oto mały przykład jak łatwo Shiro działa: link