什么是好的安全框架或 API？ [关闭]答案

【问题标题】：What is a good security framework or API? [closed]什么是好的安全框架或 API？ [关闭]
【发布时间】：2010-12-07 22:08:07
【问题描述】：

当您构建具有安全性的应用程序时，是否有要使用的框架？（最好使用 Java。）

【问题讨论】：

您是在谈论像加密这样的安全性，还是像身份验证一样？
如果您需要您的应用程序“安全”，没有通用框架可以让您轻松完成。如果您对加密、数字签名、身份验证、授权等有特定要求，则应列出您的要求，因为多个框架可以为每一个提供更好的支持。

【解决方案1】：

Apache Shiro 是一个功能强大且易于使用的 Java 安全框架，它执行身份验证、授权、加密和会话管理。借助 Shiro 易于理解的 API，您可以快速轻松地保护任何应用程序——从最小的移动应用程序到最大的 Web 和企业应用程序。 :http://shiro.apache.org/

jGuard 是用 Java 编写的。它的目标是提供一个基于JAAS（Java 身份验证和授权安全）的安全框架。该框架是为 Web 和独立应用程序编写的，可以简单地解决访问控制问题：http://sourceforge.net/projects/jguard/

Bouncy Castle，我们相信加密。这是我们心中最亲近的东西。我们坚信加密，因此我们努力为每个人提供一些东西，而且我们已经这样做了 10 多年：http://www.jasypt.org/

【讨论】：

【解决方案2】：

Apache Shiro 可能是 Java 功能最丰富的开源安全框架，当您不仅考虑到身份验证和授权（它做得非常好），还考虑到诸如健壮的集群（和容器独立）会话之类的东西时及其密码学的简化。

它也适用于任何 Java 应用程序，不仅仅是 Spring 应用程序，而且它具有开箱即用的出色 Spring 集成。文档非常好，API 文档在开源标准方面也非常出色。用户社区也非常有帮助。

但可能比其他任何东西都好：它超级容易理解和使用。安全 API 学习起来可能很麻烦且棘手 - Shiro 可能拥有最干净、最容易理解的 API。

【讨论】：

【解决方案3】：

Spring Security - http://static.springsource.org/spring-security/site/ - 提供了几乎所有你能想到的东西，如果你已经在使用 Spring for IOC (inversion of control)，它可以完美运行。

【讨论】：

但也太复杂了。
@Raj 我倾向于不同意。在某些时候这是真的，但最近的版本取得了巨大的进步。现在你只能说它有一个相当陡峭的学习曲线，但是一旦你掌握了它，你就会欣赏它的可扩展性。另外，如果您熟悉“Spring way”，这似乎真的很容易。