security - Grails 如何处理安全性，我为什么要使用插件？

Question

对于每个与安全相关的 Grails 教程的 90%，它们都告诉您将 User 对象存储在 session 范围的变量中。这一切都很好，很容易，但我想知道这是否好得令人难以置信，尤其是对于像 Spring Security 这样的插件提供许多倍的功能。

对于我开发的简单的“我是用户，因此我有权查看/编辑我自己的域对象”应用程序，我将我的用户对象存储在 session 中。然而，这让我想到 Grails 如何在其自己的实现中支持 J2EE 安全性和 session (它确实在 cookie 中使用了一个临时 session ID，对吗？)。此外，它对 cookie 注入(inject)和跨站点/流浪 JS 等攻击有多脆弱？

我不想真正花时间学习、集成和维护可能不需要它的应用程序的插件，所以我的问题是，Grails 的 session 实现对于简单的应用程序是否足够安全，是否有一个很好的理由即使是这些琐碎的任务，我也应该使用安全插件？

顺便说一句，如果有人能指出一个好的 OpenID/Facebook 登录实现，那就太好了。

Answer 1

关于安全问题，我始终建议您更喜欢经过验证且被广泛采用的解决方案，而不是您自己的滚动安全实现。 Spring Security 成立于 2003 年，名称为 Acegi，为您带来超过 8 年的安全问题经验和开发经验。

正如您已经指出的 Grails Spring Security插件你应该看看 OpenID 插件 Spring Security OpenID它扩展了 Spring Security Core 并为您带来了 OpenID 支持。