基本的用户名和密码检查而不是 Spring 安全性

Question

我们可以通过以下方式对用户进行身份验证：（1）。获取用户名和密码，并直接与数据库进行检查。（2）。使用Spring Security（将获取用户名和密码）

如果我的应用程序不需要对某些endpoint进行授权，那么在这种情况下，第（1）点将是有用的，因为它不需要处理代码。

我的理解正确吗？除了授权的额外优势之外，这里还有其他优势吗？在（1）点中，它仍然是对用户进行身份验证的正确方法吗？

Answer 1

springframework中的＜code＞springsecurity＜/code＞模块的全部原因是在安全层上有一些专用的框架，这样构建应用程序的正常公司或开发人员就不必总是协调他们如何实现安全性，以及他们的安全层是否存在漏洞。

在您的示例中，我们可以说springsecurity还将能够加密密码，从而不会将实际密码存储在数据库中。因此，如果有人可以访问数据库，则不会自动公开凭证。

另一种情况是springsecurity中的主要对象，它在身份验证后将隐藏密码。因此，您可以传输此对象以查看有关登录用户的信息，但如果有中间人攻击设法解释对象的状态，则凭据不容易被泄露。

springsecurity模块中包含了更多的最佳实践，以便为应用程序提供额外的安全性并防止攻击。

因此，总结使用spring-security并在登录中提供的最基本的凭据概念上使用您自己的身份验证机制，与数据库相比是一样的，但实现会有很大不同，因为spring-security模块提供了更多的东西来阻止攻击者，而不仅仅是这个概念的实现。