Web服务器上的身份验证和授权？

Question

我正在构建一个与apache tomcat上的Web服务器通信的android应用程序。 Web服务器内置在JAVA EE中。 目前用于身份验证和授权，我正在使用用户名，密码，并且用于管理会话，我正在使用令牌。 因此，当用户登录时，我将检查mysql数据库并验证用户身份。 当用户尝试根据发送的令牌执行某些操作时，我将识别该用户并授权根据授予该用户的特权执行该操作。 看起来有点麻烦。 我想知道是否有任何标准框架可以简化此任务。

1. 是否有任何tomcat容器级别的身份验证和授权，因此，如果未授权该请求执行该操作，则该请求将不会到达该Web应用程序？

2. 还是有任何框架可以在Web应用程序中提供标准的身份验证和授权？

Answer 1

您正在寻找Apache Shiro ：

Apache Shiro是一个功能强大且易于使用的Java安全框架，它执行身份验证，授权，加密和会话管理。 使用Shiro易于理解的API，您可以快速轻松地保护任何应用程序-从最小的移动应用程序到最大的Web和企业应用程序。

我在几个项目中使用了Spring安全性（版本3），缺点是您需要部署的jar大小（它是Spring！），非常麻烦。

另外，我已经将Apache Shiro与magnolia-cms集成在一起，据我所知，Apache Shiro具有Spring Security的优势以及易用性。