关于不用 Spring Security

[kanezeng]

有熟悉 Spring Security 的么？好久没搞 Java 了，我在想如果我不不用 Spring Security ，完全自己来搞个简单的认证和授权的环境是不是也没什么问题？

主要是觉得这样的话，好像自定义的可能大一点，我希望用户的登陆状态等等信息都存储在一个外部的 Redis 里面，这样服务器水平增加实例的时候比较方便。

就是不知道这样会不会有什么坑？

[lrj2u]

可以试试 shiro

[zonghua]

Spring 都好，但就是 Spring Security 没多少人用

[Infernalzero]

相对 spring 来说重了点，实际用不用还得看业务，有些情况要在 spring security 的基础上改反而麻烦，不如自己实现

[nikubenki]

shiro 比较简单

[HentaiMew]

如果仅仅是登陆功能的话 其实 shiro 都可以不用的。
认证信息和 Session 其实就是得放在 redis 中，如果放在应用内存中，集群环境下 没法共享的。

[Lpl]

shiro 可以存到外部的 redis 中

[hustlike]

spring security 太乱了。

[wucao219101]

感觉 Spring Security 比 Laravel 的那一套认证授权要好用，结合 Spring 使用还是比较舒服的。
http://xxgblog.com/2015/09/06/spring-security-start/

[tracymcladdy]

@HentaiMew 不对，集群环境下放应用中更好， nginx 绑定请求对应的容器，通过分布式缓存来同步应用内存和 redis

[coetzee]

Shiro 用起来还可以，自己写总有考虑不周全的地方，自己的项目自己写无所谓了，但是需要人力维护的项目还是建议采用成熟稳定的开源框架

[hantsy]

@kanezeng 使用 Spring Security+ Spring Session （也是 Spring 官方子项目）支持 Redis ， Hazelcaset 存放 Session ， 简单的几行配置就解决了， Spring Session
项目带有多个场景例子。

[br00k]

还是用轮子吧，不然后面折腾的是自己。

[hsluoyz]

授权可以用另一个开源项目：jcasbin