java - 管理/创建动态安全策略规则的最佳 Java 框架？

Question

通常在任何 Web 应用程序中，主要的安全问题是保护资源免受试图访问未经授权资源的恶意用户的侵害。他们可以更改请求参数中的值并尝试访问不属于该特定用户的内容。

例如:http://blah.com/id=foo用户可以将其更改为 http://blah.com/id=bar 并尝试访问 bar 资源以访问它。

对于 Restful 服务，这可能会导致更大的安全问题，因为 Restful URL 是不言自明的。

例如:

http://hotels.com/hotels/1用户可以轻松猜测并将 id 更改为 2 以查看它的详细信息。
一种设计是手动检查每个请求以查看资源的访问权限，并在需要时拒绝它。
但这是一个麻烦且不可维护的问题。

所以问题是“是否有任何工具/框架可以帮助轻松实现这一目标？我知道 spring security 支持静态规则而不是动态规则。

Answer 1

在过去几年中，出厂标准已变为 Spring Security .它位于任何旧 java webapp(不仅仅是 Spring webapp)的前面，并提供您选择的拦截身份验证和授权层。

它非常强大，尽管也相当复杂(IMO 过于复杂)。