grails - Grails/安全性:实现NonAuthFilter的动机

Question

跟进this question

为什么有人宁愿在URL上实现一个非身份验证的过滤器，而不是在staticRules w / permitAll下允许它呢？从安全 Angular 来看，有什么区别吗？

在我看来，他们实现了同样的目标。

谢谢

Answer 1

执行安全检查会有非零的开销。在大多数情况下，成本很小，但是根据检查内容的不同，它可能会占用更多资源，即使每个单独请求的成本很小，累积成本也可能很大，尤其是当您考虑到在许多应用程序中进行安全检查时为每个请求运行，包括收藏夹图标以及所有CSS，JS和图像文件。

用SecurityContext重新填充Authentication也有成本；通常，这是通过HTTP session 中存储的数据进行配置的，但可能涉及更多，甚至需要数据库访问或远程调用。

插件中没有对此的直接支持，您需要使用显示的链接中的解决方法，但是我打算添加对2.0 final的支持；参见this JIRA issue。