使用spring security与2台生产服务器进行Web应用程序用户身份验证

Question

在基于java的web应用程序的html" target="_blank">服务器端工作（将服务于移动和web客户端），我需要实现用户身份验证。在生产环境中，我有两台服务器（复制的，针对同一个DB）和一个负载平衡器。我以前使用过Spring security，所以这对我来说是最直观的方式，但我的问题是：

Spring security针对DB（当用户登录时）对用户进行一次身份验证，之后的请求使用基于会话的令牌进行处理和身份验证。现在，假设我的一台生产服务器停机，那么我将失去会话，这意味着用户将得到某种“未经授权”的响应。我该怎么处理？

我想到了3个选择

1. 使用一个键值存储，如redis，并将我的令牌保存在那里。如果我这样做，我想我必须干扰Spring的核心代码——一次是在用户登录时（将令牌保存到键值存储区），一次是在验证用户时（针对这个键值存储区而不是Spring的内存HttpSessionSecurityContextRepository进行验证）。
2. 使用Spring Security性的方式是，它在每个请求中都针对数据库验证用户（我不确定这是否可能）。
3. 不使用Spring安全，只需创建一个过滤器或一些拦截器，以便对DB的每个请求进行身份验证。这意味着两件事：第一，我的客户端将必须为每个请求应用用户名和密码（可能在标题中），第二，我必须为每个请求查询数据库。

因此，这些是我的想法，我想得到你的见解和新的建议，如果你有。

Answer 1

用户在整个会话中保持的状态如何？如果出现这种情况，那么如果服务器出现故障，您将丢失数据。

我认为最好的方法是从粘性会话机制开始，保持身份验证不变。

粘性会话可以在负载平衡器上配置，通常意味着：

• 一旦使用从IP A打开您在服务器S1上的应用程序，所有后续请求将被重定向到该服务器，但下一个用户将自动连接到服务器S2（负载均衡器将做出这样的决定）。所以总的来说，如果你有10个用户同时工作，其中5个将连接到服务器S1，其余的连接到服务器B。

我不认为对每个请求进行身份验证是一个好主意（想想Web2、ajax请求）——这会使服务器和数据库负载过高，因此它无法同时处理大量用户/请求。

希望这有帮助