[java] 시로 대 스프링 시큐리티 [닫기]

나도 스프링 시큐리티가 너무 복잡하다고 생각한다. 물론, 그들은 XML 구성의 양을 줄이기 위해 사용자 정의 XML 네임 스페이스를 만드는 것처럼, 복잡성을 줄일 수있는 일들을,하지만 나를 위해, 이러한 해결하지 않는 나의 봄 보안과 개인 근본적인 문제 : 그 이름과 개념은 종종 일반에 혼동 나를. 그냥 ‘얻기’가 어렵습니다.

두 번째로 시로를 사용하기 시작하면 ‘얻을’것입니다. 보안 세계에서 이해하기 어려운 것은 이해하기가 훨씬 쉽습니다. JDK에서 사용하기 어려운 것들 (예 : 암호)은 견딜 수있는 수준이 아니라 종종 사용하기 쉬운 수준으로 단순화되었습니다.

예를 들어, 비밀번호를 해시 + 소금하고 Java 또는 Spring Security에서 base64로 인코딩하는 방법은 무엇입니까? 시로의 솔루션만큼 간단하고 직관적 인 것도 아닙니다.

ByteSource salt = new SecureRandomNumberGenerator().nextBytes();
new Sha512Hash(password, salt).toBase64();

공통 코덱이나 그 밖의 다른 필요가 없습니다. 단지 시로 항아리.

이제 스프링 환경과 관련하여 대부분의 시로 개발자는 스프링을 기본 애플리케이션 환경으로 사용합니다. 그것은 시로의 스프링 통합이 훌륭하다는 것을 의미하며 모두 훌륭하게 작동합니다. Spring 앱을 작성하는 경우 보안 경험이 풍부하다는 것을 확신 할 수 있습니다.

예를 들어,이 스레드의 다른 게시물에있는 Spring XML 구성 예제를 고려하십시오. Shiro에서 (본질적으로) 같은 일을하는 방법은 다음과 같습니다.

<?xml version="1.0" encoding="UTF-8"?>
<beans xmlns="http://www.springframework.org/schema/beans" xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance"
xsi:schemaLocation="http://www.springframework.org/schema/beans http://www.springframework.org/schema/beans/spring-beans.xsd>

<bean id="shiroFilter" class="org.apache.shiro.spring.web.ShiroFilterFactoryBean">
    <property name="securityManager" ref="securityManager"/>
    <property name="loginUrl" value="/login.jsp"/>
    <property name="successUrl" value="/home.jsp"/>
    <property name="unauthorizedUrl" value="/unauthorized.jsp"/>
    <property name="filterChainDefinitions">
        <value>
        /secure/** = authc
        /** = anon
        </value>
    </property>
</bean>

<bean id="securityManager" class="org.apache.shiro.web.mgt.DefaultWebSecurityManager">
    <property name="realm" ref="myRealm"/>
</bean>

<bean id="myRealm" class="...">
    ...
</bean>

다른 Spring 예제보다 약간 더 장황하지만 IMO를 읽는 것이 더 쉽습니다.

또한 Shiro의 필터 체인 정의를 사용하는 것이 일반 필터 체인과 웹 기반 보안 규칙을 정의하는 가장 쉬운 방법 일 것입니다! web.xml에서 정의하는 것보다 훨씬 좋습니다.

마지막으로 시로는 극단적 인 ‘플러그 기능’도 제공합니다. Shiro의 POJO / 주입 친화적 인 아키텍처 덕분에 무엇이든 구성 및 / 또는 교체 할 수 있음을 알 수 있습니다. Shiro는 거의 모든 것을 기본값으로 설정하고 필요한 것만 무시하거나 구성 할 수 있습니다.

하루가 끝나면이 두 가지 중 하나를 선택하는 것이 당신의 정신 모델에 관한 것이라 생각합니다. 두 가지 중 어느 것이 더 합리적이고 직관적입니까? 어떤 사람들에게는 시로 (Shiro), 다른 사람들에게는 봄 보안 (Spring Security)이 될 것입니다. Shiro는 봄 환경에서 훌륭하게 작동하므로 둘 중 어느 것을 더 좋아하고 가장 적합한 지에 따라 선택한다고 말하고 싶습니다.

시로의 스프링 통합에 대한 자세한 내용은 다음을 참조하십시오 : http://shiro.apache.org/spring.html

답변

<?xml version="1.0" encoding="UTF-8"?>
<beans xmlns="http://www.springframework.org/schema/beans" xmlns:security="http://www.springframework.org/schema/security" xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance"
    xsi:schemaLocation="http://www.springframework.org/schema/beans http://www.springframework.org/schema/beans/spring-beans.xsd
                        http://www.springframework.org/schema/security http://www.springframework.org/schema/security/spring-security.xsd">

    <security:http auto-config="true">
        <security:form-login login-page="/index.do" authentication-failure-url="/index.do?login_error=1" default-target-url="/index.do"
            always-use-default-target="true" />
        <security:logout logout-success-url="/index.do" />
        <security:intercept-url pattern="/secure/**" access="ROLE_ADMIN,ROLE_USER" />
        <security:intercept-url pattern="/**" access="IS_AUTHENTICATED_ANONYMOUSLY" />
    </security:http>

    <bean id="customAuthenticationProvider" class="my.project.CustomAuthenticationProviderImpl">
        ...
    </bean>

    <security:authentication-manager>
        <security:authentication-provider ref="customAuthenticationProvider" />
    </security:authentication-manager>

</beans>