spring-security - JAAS、Spring Security 或 Apache Shiro

Question

只是一个关于 java 中的安全框架的快速问题。

迄今为止 JAAS 一直是我的框架。是的，人们提示它很难设置，它需要 Hook 到你的底层系统，但它确实有效
并具有成为规范的额外好处。

也就是说，我最近一直在研究 Java 中的其他安全框架，其中两个似乎在网上受到最多关注的是:

1 - Spring 安全

Spring Security 似乎非常受欢迎，但我发现使用它有点复杂。

2 - Apache 希罗

Apache Shiro 似乎比 Spring Security 更直接，但是它似乎缺少一些文档。

所以我的问题是，在上面提到的框架中，人们认为我应该花时间学习 Spring Security 还是 Apache Shiro？

(或者我应该坚持使用 JAAS 吗？)

Answer 1

如果您想在 Web/非 Web 环境的混合环境中使用 Shiro，它非常棒。它是高度可定制的。我们使用它来进行 Multi-Tenancy 授权，并且我们还使用 shiro 实现了一些自定义权限要求。

您还可以从 shiro 中的几乎每个类创建 spring bean，因为代码设置非常干净，并且非常适用于 spring 注入(inject)(或我猜的任何其他依赖注入(inject)框架)。

正如开发人员所提到的，缺少文档。我们做了很多阅读源代码来获得我们的修复，所以如果你想做更高级的配置，请注意你必须深入到源代码中。

对于简单的设置，shiro 的标准文档将在大多数情况下为您提供帮助。

Imho spring security 很好，但它没有 shiro 提供的灵 active 。