我正在构建一个打算在 Pivotal Web 服务上部署的应用程序。我想使用 Spring Security 保护应用程序。安全性应该是基于角色的，并且用户应该能够在我的应用程序中注册自己。
我希望应用程序以无状态方式工作，我知道如何在有状态系统中使用会话来处理这样的“用户系统”，但我完全不知道在你有多个 PWS 上处理这个问题同一应用程序的实例。
处理此问题的最佳方法是什么？我是否必须为此设置 OAUTH2 服务器？
【问题讨论】：
标签： spring-mvc spring-security cloud-foundry spring-cloud pivotal-web-services
您可以在 cloudfoundry 上使用会话。路由器实际上知道如何使用 jsessionId 处理粘性。 java buildpack 还支持会话复制，而且设置非常简单。
只要您使用会话复制，您拥有多个实例就不会成为问题。也可以看看Spring Session，它应该可以帮助您了解如何管理用户状态。
根据身份验证，您不需要使用 oAuth2。您可以只使用 BASIC 或 Spring Security 支持的任何类型的身份验证
如果您想利用 Spring Cloud，请查看 Spring Cloud Security 启动资源服务器然后在您的应用程序上使用 @EnableSSO 非常简单。在深入研究 Spring Cloud Security 之前，我建议先阅读 Spring Security。
博士。 Syer 写了一篇精彩的 blog 条目，介绍如何使用 api 网关模式保护微服务。
需要考虑的内容很多，但如果不先进行一些研究，这种问题就不容易回答。
【讨论】：