仅使用Spring Security（或）Spring进行授权

Question

我对授权和Spring Security有疑问。为了在我的一个服务中实现授权检查(在一个面向服务的架构环境下)，我尝试看看是否可以使用Spring-Security。在浏览spring security文档时，我在这里读到Spring Security在内部使用Spring的AOP。

参考：您可以选择使用AsheJ或Spring AOP执行方法授权，也可以选择使用html" target="_blank">过滤器执行Web请求授权。您可以一起使用这些方法中的零个、一个、两个或三个。主流的使用模式是执行一些Web请求授权，再加上服务层的一些Spring AOP方法调用授权。

我们已经在服务实现中使用了Spring AOP。在我的例子中，将传入我的RESTful服务的请求将携带一个定制的令牌对象，应该对该对象进行处理以执行授权检查。

基于此，我想了解我是否可以简单地使用Spring并创建一个Aspect来捕获入站请求，提取和处理关联的（自定义构建的）令牌，并根据结果继续/拒绝请求？鉴于通信通道已经使用HTTPS进行保护，我是否需要Spring安全性？

谢谢

SGSI

Answer 1

很久以前，对于类似的情况，我们做了以下工作:

1. 使用 HTTP 筛选器从每个请求的 HTTP 标头中提取令牌。
2. 将提取的标头存储到线程上下文中。
3. 添加了有关服务方法调用的方面，以检查令牌的线程上下文。

这个策略对我们很有效。在过去的许多年中，我一直在使用Spring Security，因为它对此类问题有一个更为测试和全面的实现。

如果您希望编写自己的令牌传递实现，可以检查Spring Security类＜code＞SecurityContextHolder＜code＞的源代码，该类提供了在执行线程上传递安全信息的多种方式。