什么是会话身份验证的Spring安全最佳策略

Question

我有一个Spring MVC Web应用程序，没有安全区域，因此所有用户都可以看到所有页面，但我确实有一个Facebook日志，使用spring social，in并且我确实按会话ID识别每个用户。场景是用户可以将页面看作客户，其中应用程序通过会话ID识别他（或她），当用户使用他（或她的）Facebook帐户登录时，为相应的用户保存记录Facebook数据。 下次用户访问应用程序时，我希望能够识别他。 我想过使用spring security记住我的功能（以及未来可能使用的基础设施）。

所以我的问题是，春季安全对我来说是正确的解决方案吗？如果可以的话，可以通过会话ID设置身份验证吗？

Answer 1

Spring安全性对于验证用户很有用。如果您只是通过会话ID进行身份验证，则伪造用户可能会通过欺骗会话数据来访问用户信息。