java - Spring REST服务，注册用户，身份验证

Question

我们的项目由Java后端(Spring Web应用程序)和iOS和Android客户端应用程序组成。现在我们需要向 Java 后端添加客户端应用程序的身份验证。这个想法是使用外部网络服务首次注册用户。在此步骤中，用户提供完整的凭据(登录名和“大”密码)并选择一些 PIN 码以进行进一步授权。成功完成主要步骤后，用户应该能够使用他的登录名和 PIN(他之前自己选择的)进行身份验证。这些登录名和密码应该存储在我们的数据库中。我们还应该能够在必要时销毁该“ session ”和 PIN。我们预计 Web 应用程序将拥有最多 10,000 个注册用户，并且最多有 1000 个用户同时在线。

我们也不打算使用任何单独的身份验证服务器，我们计划将安全性嵌入到 Web 应用程序(后端)本身。

我一直在研究两种不同的方法。首先是通常的 spring @EnableWebSecurity 方法。这看起来很简单，但有些人说它会创建“ session ”，这对服务器不利。 Session会消耗大量内存，总体对性能影响会很差。这是真的吗？

另一种方法是使用 Spring Oauth2 实现。我没有时间好好研究它，这对我来说似乎有点大材小用。为了我们的需要值得学习吗？ (顺便说一句，我们的时间不多了)。

我还需要一些适当的数据库结构来满足安全需求。

所以问题是，适合我们情况的最佳方法是什么？有没有开源项目可以解决类似的问题？我将不胜感激任何帮助。

谢谢。

Answer 1

无论您使用什么技术进行身份验证，您都需要 session 来维护经过身份验证的用户的状态。您可以单独使用 Spring security 或与 Oauth2 一起使用。

为了简单起见，我建议您可以使用 Spring Security with Token功能。

但是，您可以找到一个关于 Spring Security 和 Oauth 的好博客。

Securing REST Services with Spring Security and OAuth2

如需更多说明，您还可以访问here