create-session durum bilgisi olmayan kullanım

Question

Web sunucumda vatansız bir güvenlik sağlamak için bunun create-session="stateless"'a dönüşmesinin sonunun olacağını umuyordum, ama öyle değil.

Bu değişiklikle, yay güvenliği çalışmadığı için (benim varsayımım) yay güvenliği oturumda hiçbir şey saklamıyor ve güvenli web isteklerine kimlik doğrulaması yapamıyor.

Bu durum bilgisi olmayan özelliğinden nasıl yararlanabilirim?

Henüz vatansız bir web uygulaması için durum bilgisi olmayan yaylı güvenliğin nasıl elde edileceğine ilişkin hiçbir örnek bulamıyorum.

Teşekkür ederiz!

Answer 1

Tamamen güvenliksiz bir güvenliği olan bir Spring tabanlı web sunucum var ve bu şekilde çalışmasını sağlamanın tek yolu oturum oluşturma işlemini tamamen devre dışı bırakmaktır (create-session="never" ile). Bu, her isteğiyle yeniden kimlik doğrulamayı zorlar. Bu nedenle, web sunucusunu, özellikle karmaşık bir anlaşma gerektirmeyen HTTP Tabip Auth veya Digest Auth (tabii ki HTTPS üzerinden) kullanacak şekilde yapılandırmak isteyeceksiniz. tabanlı oturum açma ve OAuth hem , bir oturum için kimlik doğrulaması bağlamında çok daha karmaşık bir işlem olduğundan, gerektirir. Bu, <security:http> öğenizin içinde <security:http-basic /> gibi bir öğe koymak istediğiniz anlamına gelir.

(Bu şekilde yapmanın avantajı, çerez/oturum yönetimi yapmak zorunda olmadıkları için son derece basit istemci kitaplıklarına olanak sağlamasıdır. Maliyet, bazı işleme yüküdür - kullanıcının ne gibi roller oynadığı Her talebe - ve kimlik doğrulama mekanizmalarının kullanabileceği bazı sınırlamalara - yeniden katılmanız gerekir.)

Answer 2

Donal'ın cevabı temel olarak doğrudur ve muhtemelen bir tarayıcı için vatansız bir uygulamayı kullanmak istemezsiniz.

Referans için, create-session="stateless", RESTful istemcisi gibi durum bilgisi olmayan bir uygulamaya sahipseniz, daha iyi bir seçenektir. Bu seçenek Spring Security 3.1'de tanıtıldı. Spring Security'nin oturumu kullanan altyapısının (örneğin,, SessionManagementFilter, RequestCacheFilter) parçalarının eklenmesini engeller, böylece daha yalın bir kurulum elde edersiniz.

create-session="never" ile Spring Security hiçbir zaman bir oturum oluşturmayacaktır, ancak uygulamanızın yaptığı bir tanesini kullanacaktır. Pratikte, birçok kullanıcı oturum oluşturduğunun farkında değiller, bu yüzden gerçekten bir seans istemiyorsanız, o zaman stateless en iyi seçenektir.