Shiro vs. SpringSecurity [zamknięta]

Nie mam doświadczenia w używaniu Shiro i" częściowo " zgadzam się z tym, co powiedziałeś o Spring Security. Przed wiosenną ochroną 3.x, Spring Security (lub Acegi) było bardzo bolesne, aby skonfigurować. Prosta konfiguracja oparta na rolach zajmie co najmniej 140 linii cryptic XML configuration... Wiem o tym, bo sam liczyłem linijki. To było coś, gdzie skonfigurować jeden raz, i modlić się, że będzie działać na zawsze bez dotykania konfiguracji ponownie, ponieważ można zapewnić zapomniałeś, co oznacza cała konfiguracja. :)

<?xml version="1.0" encoding="UTF-8"?>
<beans xmlns="http://www.springframework.org/schema/beans" xmlns:security="http://www.springframework.org/schema/security" xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance"
    xsi:schemaLocation="http://www.springframework.org/schema/beans http://www.springframework.org/schema/beans/spring-beans.xsd
                        http://www.springframework.org/schema/security http://www.springframework.org/schema/security/spring-security.xsd">

    <security:http auto-config="true">
        <security:form-login login-page="/index.do" authentication-failure-url="/index.do?login_error=1" default-target-url="/index.do"
            always-use-default-target="true" />
        <security:logout logout-success-url="/index.do" />
        <security:intercept-url pattern="/secure/**" access="ROLE_ADMIN,ROLE_USER" />
        <security:intercept-url pattern="/**" access="IS_AUTHENTICATED_ANONYMOUSLY" />
    </security:http>

    <bean id="customAuthenticationProvider" class="my.project.CustomAuthenticationProviderImpl">
        ...
    </bean>

    <security:authentication-manager>
        <security:authentication-provider ref="customAuthenticationProvider" />
    </security:authentication-manager>

</beans>

To, co naprawdę lubię w Spring Security, to to, że po jego skonfigurowaniu bezpieczeństwo jest bezproblemowo zintegrowane z projektem. To tak, jakby rzeczywisty kod projektu nie wiedział o istnieniu ochrony... i to jest dobre, ponieważ pozwala mi łatwo odłączyć lub uaktualnić komponent bezpieczeństwa w przyszłości(np. zmienić auth bazy danych na LDAP / CAS auth).

Używałem Spring Security (Wersja 3.1) od kilku miesięcy i byłem z niego całkiem zadowolony. Jest naprawdę potężny i ma bardzo ładną funkcję, zwłaszcza po ręcznym wdrożeniu wszystkiego, tak jak wcześniej ! Było to jednak, jak gdzieś czytałem, coś w rodzaju czegoś, co skonfigurowałeś kiedyś na początku rozwoju aplikacji, a następnie módl się, aby działało do końca, ponieważ jeśli musisz to naprawić, prawdopodobnie zapomnisz większość rzeczy, które miałeś do zrobienia. parametr.

Ale potem pojawił się nowy projekt, z bardziej złożonymi wymaganiami bezpieczeństwa. Krótko mówiąc, musieliśmy wdrożyć jakiś rodzaj niestandardowego SSO między kilkoma powiązanymi webapps.

Wiedziałem dokładnie, co chcę osiągnąć pod względem logiki HTTP, plików cookie, identyfikatorów sesji i innych rzeczy, i co powinno się wydarzyć w jakiej kolejności, ale spędziłem większą część dnia zmagając się z API zabezpieczeń Spring i nadal nie mogłem dowiedzieć się dokładnie, jaką klasę lub interfejs powinienem zaimplementować lub zaimplementować. override, i jak podłączyć je w kontekście. Całe API wydawało się bardzo złożone i czasami trochę Ezoteryczne. I chociaż doc jest całkiem dobry do ogólnych przypadków użycia, a nawet niektórych dostosowań, nie wszedł wystarczająco głęboko, aby pokryć moje potrzeby.

Po przeczytaniu odpowiedzi tutaj i w innych miejscach w sieci, odniosłem wrażenie, że Shiro będzie łatwiej zrozumieć i dostosować do moich potrzeb. Więc spróbowałem.

I cieszę się, że to zrobiłem, bo po dniu pracy nad nim udało się dowiedzieć wystarczająco dużo o API nie tylko skonfigurować podstawowy system uwierzytelniania i autoryzacji w mojej wiosennej webapp bez problemów, ale także wdrożyć niestandardowe zachowanie SSO Szukałem. Musiałem tylko rozszerzyć 2 lub 3 klasy, a całość zajęła tylko około 25 linijek konfiguracji XML w moim wiosennym kontekście.

Na zakończenie, co do łatwości obsługi i uczenia się, Shiro jest naprawdę całkiem sympatyczny i myślę, że w przyszłości się z nim zgodzę, chyba że Napotykam pewne braki funkcji lub jakiś inny problem (którego do tej pory nie miałem).

TL;DR: oba są potężne, ale Shiro jest znacznie łatwiejszy do nauczenia się.