玩！框架：使用会话进行身份验证

Question

所以我正在使用Play！网站项目的框架。
我正在使用会话来确定用户是否已登录：

session("connected", user.getId().toString());

然后，我可以轻松地确定用户是谁。

我有两个问题：

1. 这是最好的做法吗？
2. 我的简单登录系统中是否存在漏洞，以及如何废除这些漏洞？

Answer 1

它简单而安全，因为会话范围的cookie是使用密钥签名的。如果不需要为每个会话存储大量数据，那么应该没问题。

查看现有解决方案（即zentasks样本）。

修改：

另一方面，你可以考虑使用Play Authenticate，我已经在in my fork (branch 2.0.4_session)中添加了对samples/java/play-authenticate-usage的会话处理，它只有3次提交，所以很容易将它合并到现有{ {1}}实施。