Spring REST服務，註冊用戶，認證

Question

我們的項目由Java後端（spring web應用程序）以及iOS和Android客戶端應用程序組成。現在我們需要將客戶端應用程序的身份驗證添加到Java後端。這個想法是首次使用外部Web服務註冊用戶。在這一步用戶提供完整的憑證（登錄和「大」密碼），並選擇一些PIN進一步授權。在主要步驟成功完成後，用戶應該能夠使用他的登錄名和PIN（他之前選擇他自己）進行身份驗證。這些登錄和密碼應該存儲在我們的數據庫中。只要有必要，我們也應該能夠銷燬該「會話」和PIN。我們預計網絡應用程序最多可擁有10 000名註冊用戶，最多可有1000名用戶同時在線。

我們也不打算使用任何單獨的認證服務器，我們計劃將安全性嵌入到Web應用程序（後端）本身。

我一直在調查2種不同的方法。首先是通常的Spring @EnableWebSecurity方法。這看起來很簡單，但有些人說它會創建「會話」，這對服務器來說是不好的。會話將消耗大量內存，並且對性能的整體影響將會很糟糕。這是真的嗎？

另一種方法是使用Spring Oauth2實現。我沒有時間適當地研究它，這對我來說似乎有點矯枉過正。研究我們的需求是否值得？ （我們沒有時間btw）。

我還需要有一些適合安全需求的數據庫結構。

所以問題是，我們的情況最好的辦法是什麼？有沒有開源項目，解決類似的問題？我將不勝感激任何幫助。

謝謝。

Answer 1

無論您使用哪種技術進行身份驗證，都需要會話來維護經過身份驗證的用戶的狀態。您可以單獨使用Spring安全性或與Oauth2一起使用。

我會建議您爲簡單起見，您可以使用Spring Security with Token功能。

但是，您可以在Spring Security和Oauth上找到一個很好的博客。

Securing REST Services with Spring Security and OAuth2

更多的澄清，你還可以參觀here

Answer 2

會話，如果你要存儲大量的會話數據只應佔用的內存配發。只要你不這樣做，就不會有任何問題。您需要根據您的安全和用戶體驗的可接受級別進行自己的身份驗證決策，但沒有任何「正確」答案。春季安全和會議已在這裏討論How can I use Spring Security without sessions?。