Shiro vs SpringSecurity

J'ai trop d'accord que le Printemps de Sécurité se sent trop compliqué (pour moi). Bien sûr, ils ont fait des choses pour réduire la complexité, comme la création des espaces de noms XML pour réduire la quantité de configuration XML, mais pour moi, ce n'est pas l'adresse de mon personnels problème fondamental avec le Printemps de Sécurité: ses noms et les concepts sont souvent source de confusion en général pour moi. Il est difficile de simplement 'obtenir'.

La deuxième de commencer à utiliser Shiro bien, vous venez 'obtenir'. Ce qui était difficile à comprendre dans le monde de la sécurité est d'autant plus facile à comprendre. Les choses qui sont insupportablement difficile à utiliser dans le JDK (par exemple, les Algorithmes) sont simplifiées à un niveau qui n'est pas seulement supportable, mais, souvent, une joie à utiliser.

Par exemple, comment avez vous de hachage+sel un mot de passe et l'encoder en base64 dans le Java ou le Printemps de Sécurité? Ne sont ni aussi simple et intuitif que Shiro solution:

ByteSource salt = new SecureRandomNumberGenerator().nextBytes();
new Sha512Hash(password, salt).toBase64();

Pas nécessaire pour les communes-codec ou quoi que ce soit d'autre. Juste le Shiro jar.

Maintenant en ce qui concerne le Printemps des environnements, la plupart des Shiro aux développeurs d'utiliser le Printemps comme leur principale application de l'environnement. Cela signifie que Shiro est le Printemps de l'intégration est superbe et tout fonctionne exceptionnellement bien. Vous pouvez être assuré que si vous écrivez un Printemps application, vous aurez une bonne expérience en matière de sécurité.

Par exemple, considérons le Printemps de configuration XML exemple dans un autre post dans ce thread. Voici comment vous pouvez le faire (essentiellement) la même chose que dans Shiro:

<?xml version="1.0" encoding="UTF-8"?>
<beans xmlns="http://www.springframework.org/schema/beans" xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance"
xsi:schemaLocation="http://www.springframework.org/schema/beans http://www.springframework.org/schema/beans/spring-beans.xsd>

<bean id="shiroFilter" class="org.apache.shiro.spring.web.ShiroFilterFactoryBean">
    <property name="securityManager" ref="securityManager"/>
    <property name="loginUrl" value="/login.jsp"/>
    <property name="successUrl" value="/home.jsp"/>
    <property name="unauthorizedUrl" value="/unauthorized.jsp"/>
    <property name="filterChainDefinitions">
        <value>
        /secure/** = authc
        /** = anon
        </value>
    </property>
</bean>

<bean id="securityManager" class="org.apache.shiro.web.mgt.DefaultWebSecurityManager">
    <property name="realm" ref="myRealm"/>
</bean>

<bean id="myRealm" class="...">
    ...
</bean>

Bien que légèrement plus détaillé que les autres ressorts exemple, il est plus facile de lire l'OMI.

Vous trouverez également à l'aide de Shiro filtre de la chaîne d'définitions sont probablement la façon la plus simple de définir les chaînes de filtres sur le web et les règles de sécurité jamais! Beaucoup plus agréable que de les définir dans le web.xml.

Enfin, Shiro propose extrême "pluggability" ainsi. Vous verrez que vous pouvez configurer et/ou de remplacer juste au sujet de n'importe quoi parce que de Shiro de POJO/injection respectueux de l'architecture. Shiro par défaut presque tout sain d'esprit des valeurs par défaut et vous pouvez remplacer ou de configurer uniquement ce dont vous avez besoin.

À la fin de la journée, je pense que le choix de l'une de ces deux est le plus à propos de votre modèle mental, dont les deux plus de sens et est plus intuitive pour vous? Pour certains, ce sera Shiro, pour d'autres ce sera le Printemps de Sécurité. Shiro fonctionne très bien au Printemps environnements, donc je dirais choisissez selon lequel des deux vous aimez plus et qui fait le plus de sens pour vous.

Pour en savoir plus sur Shiro est le Printemps de l'intégration: http://shiro.apache.org/spring.html

J'avais été en utilisant Spring Security (version 3.1) pendant quelques mois et il était très heureux avec elle. Il est vraiment puissant et a une certaine caractéristique très intéressante, surtout après la mise en œuvre de tout à la main comme je le faisais avant ! Il a été bien que, comme je l'ai lu quelque part, une sorte de quelque chose que vous avez défini une fois près du début de la develoepment de l'app, et puis prier pour elle de continuer à travailler jusqu'à la fin, parce que si vous devez aller le réparer vous aurez probablement oublié la plupart des choses, vous avez dû paramètre.

Mais un nouveau projet est venu, avec en plus complexes en matière de sécurité. En bref, nous avons dû mettre en place une sorte de coutume d'authentification unique entre un couple d'liées webapps.

Je savais exactement ce que je voulais obtenir en termes de HTTP logique, les cookies, l'id de session et des choses, et ce qui doit arriver dans quel ordre, mais j'ai passé la meilleure partie de la journée de la difficulté avec le Printemps des Api de Sécurité, et encore ne pouvait pas comprendre exactement ce que la classe ou de l'interface, je devrait mettre en œuvre ou de la remplacer, et la façon de les combler dans le contexte. L'ensemble de l'API sentais vraiment complexe et un peu ésotérique à la fois. Et alors que la doc est assez bonne pour l'ensemble des cas d'utilisation et même un certain degré de personnalisation, il ne va pas assez profond pour couvrir mes besoins.

Après avoir lu les réponses ici, et sur d'autres endroits sur le web, j'ai eu l'impression que Shiro serait plus facile à comprendre et l'adapter à mes besoins. Je lui ai donc donné un essai.

Et je suis heureux que j'ai fait, car après une journée de travail sur elle, j'ai réussi à en apprendre suffisamment sur les Api non seulement de configurer une authentification de base et le système d'autorisation dans mon Printemps webapp sans problème, mais aussi pour mettre en œuvre la SSO personnalisé comportement que je cherchais. Je n'avais qu'à étendre de 2 ou 3 classes, et le tout a pris environ 25 lignes de XML de config dans mon printemps contexte.

Donc, en conclusion, sur la facilité d'utilisation et la courbe d'apprentissage des aspects, Shiro est vraiment très sympathique, et je pense que je vais probablement aller avec elle dans l'avenir, à moins que je rencontre certaines fonctionnalités manquent ou d'un autre problème (que je n'ai pas jusqu'à présent).

TL;DR: les Deux sont puissants, mais Shiro est beaucoup plus facile à apprendre.