Shiro vs. SpringSecurity [closed]

Je n'ai pas l'expérience de L'utilisation de Shiro, et je suis" en partie " d'accord avec ce que vous avez dit à propos de la sécurité du printemps. Avant la sécurité du ressort 3.x, Spring Security (ou Acegi) était très douloureux à installer. Une configuration simple basée sur les rôles prendra au moins 140 lignes de configuration XML cryptique... Je le sais parce que j'ai moi-même compté les lignes. C'était quelque chose où vous avez mis en place une fois, et vous priez que cela fonctionnera à jamais sans que vous touchiez à nouveau la configuration, parce que vous pouvez s'assurer que vous avez oublié ce que toute la configuration moyens. :)

Avec Ressort De Sécurité 3.x, il s'est énormément amélioré. Il introduit l'espace de noms security qui raccourcit considérablement la configuration de 140 lignes à ~30 lignes. Voici un exemple de Spring Security 3.x d'un de mes projets:-

<?xml version="1.0" encoding="UTF-8"?>
<beans xmlns="http://www.springframework.org/schema/beans" xmlns:security="http://www.springframework.org/schema/security" xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance"
    xsi:schemaLocation="http://www.springframework.org/schema/beans http://www.springframework.org/schema/beans/spring-beans.xsd
                        http://www.springframework.org/schema/security http://www.springframework.org/schema/security/spring-security.xsd">

    <security:http auto-config="true">
        <security:form-login login-page="/index.do" authentication-failure-url="/index.do?login_error=1" default-target-url="/index.do"
            always-use-default-target="true" />
        <security:logout logout-success-url="/index.do" />
        <security:intercept-url pattern="/secure/**" access="ROLE_ADMIN,ROLE_USER" />
        <security:intercept-url pattern="/**" access="IS_AUTHENTICATED_ANONYMOUSLY" />
    </security:http>

    <bean id="customAuthenticationProvider" class="my.project.CustomAuthenticationProviderImpl">
        ...
    </bean>

    <security:authentication-manager>
        <security:authentication-provider ref="customAuthenticationProvider" />
    </security:authentication-manager>

</beans>

La beauté du Ressort de la Sécurité 3.x est il est extrêmement configurable, ce qui contribue à l'un des principaux inconvénients: trop compliqué à comprendre. La documentation n'est pas facile à lire non plus parce que je ne suis que partiellement familiarisé avec les Termes Spring Security utilisés. Cependant, les options sont là si vous avez besoin de créer votre configuration personnalisée ou de contrôler comment granulaire vous voulez que votre sécurité soit. Ou bien, vous pouvez vous en tenir aux lignes < 30 ci-dessus pour effectuer une vérification de sécurité basée sur les rôles.

ce que j'aime vraiment à propos de la sécurité de ressort est une fois qu'il est mis en place la sécurité est intégrée dans le projet transparente. C'est comme si le code du projet ne connaissait pas l'existence de la sécurité... et c'est bien, car cela me permet de détacher ou de mettre à jour facilement le composant de sécurité à l'avenir (ex: change database auth en LDAP/CAS auth).

j'utilisais Spring Security (version 3.1) depuis quelques mois et j'en étais très satisfait. Il est vraiment puissant et a quelque fonctionnalité très agréable, surtout après avoir tout mis en œuvre à la main comme je l'ai fait avant ! Il était cependant, comme je l'ai lu quelque part, sorte de quelque chose que vous avez mis en place une fois près du début du développement de l'application, et puis prier pour lui de continuer à travailler jusqu'à la fin, parce que si vous devez aller le réparer, vous aurez probablement oublié la plupart des choses que vous aviez le paramètre.

mais ensuite un nouveau projet est arrivé, avec des exigences de sécurité plus complexes. En bref, nous avons dû mettre en œuvre une sorte de SSO personnalisé entre quelques webapps connexes.

je savais exactement ce que je voulais accomplir en termes de logique HTTP, cookies, id de session et autres, et ce qui devrait se passer dans quel ordre, mais j'ai passé la majeure partie de la journée à lutter avec les API de sécurité de printemps, et encore ne pouvait pas comprendre exactement ce que classe ou interface je devrais implémenter ou outrepasser, et comment les brancher dans le contexte. L'ensemble de L'API a semblé très complexe et parfois un peu ésotérique. Et bien que le doc soit assez bon pour les cas d'utilisation générale et même une certaine personnalisation, il n'est pas allé assez profond pour couvrir mes besoins.

Après avoir lu les réponses ici, et sur d'autres endroits sur le web, j'ai eu l'impression que Shiro serait plus facile à comprendre et l'adapter à mes besoins. Je lui ai donc donné un essai.

et je suis heureux que je l'ai fait, parce qu'après une journée de travail sur elle, j'ai réussi à en apprendre assez sur les API non seulement pour mettre en place un système d'authentification et d'autorisation de base dans mon webapp printemps sans problème, mais aussi pour mettre en œuvre le comportement SSO personnalisé que je cherchais. Je n'ai eu qu'à étendre 2 ou 3 classes, et le tout n'a pris qu'environ 25 lignes de config XML dans mon contexte de printemps.

comme conclusion, sur la facilité d'utilisation et les aspects de courbe d'apprentissage, Shiro est vraiment très sympathique, et je pense que je vais probablement aller avec elle dans le futur, à moins que je rencontre des caractéristiques manquantes ou un autre problème (que je n'ai pas jusqu'à présent).

TL;DR: les deux sont puissants, mais le Shiro est beaucoup plus facile à apprendre.