無狀態模式如何影響Play中的安全性！框架？

Question

Play中的無狀態操作模式！據稱框架不如有狀態模式安全。 它對整個Play框架有何影響？是否有可能改善關鍵公共Web應用程序的安全缺陷？

Answer 1

首先，你說無國籍人不太安全？你有什麼具體的理由，你爲什麼認爲這是事實？

無狀態模型的想法是，您不需要在服務器端存儲會話，這會導致您必須在會話持續期間繼續在同一臺服務器上進行「會話聊天」。

如果您想模仿J2EE會話，那麼您可以簡單地使用session.id並將所有狀態存儲在數據庫中，並在會話結束時刪除。

會話cookie本身是簽名的，所以不會被篡改，所以不用擔心有人可以劫持會話ID，但是如果您特別擔心，那麼您可以簡單地將自己的標識符存儲在會話cookie中，並使用應用程序的祕密密鑰對數據進行編碼/解密的實用程序類對其進行加密。

無狀態只是心態的變化，只要你不會在會話中不必要地存儲數據（這可能是你來自哪裏），那麼你應該沒有什麼擔心的。

Answer 2

它並不是說這個遊戲的無狀態模型不那麼安全，它只是沒有可以與Spring Security相媲美的體面的Java安全庫。

當前可用的安全模塊非常基本，並且不提供Spring Security的三分之一功能。

直到開發出與Spring Security類似的安全模塊時，恐怕在企業應用程序領域沒有辦法發揮作用。目前對於一個簡單的博客應用程序來說很好。

這只是一個遺憾Spring安全性依賴於Spring和servlet API。