Grails如何处理安全性，为什么我应该使用插件？

Question

对于每个与安全相关的Grails教程中的90％，他们告诉您将User对象存储在会话范围的变量中。 一切都很好，也很容易，但是我想知道这是否真的太好了，特别是对于像Spring Security这样的插件，它提供了更多的功能。

为简单起见，我开发的“我是用户，因此我有权查看/编辑自己的域对象”应用程序，我将User对象存储在会话中。 但是，这让我开始思考Grails如何在自己的实现中支持J2EE安全性和会话（它确实在cookie 中使用了临时会话ID，对吗？）。 此外，它对Cookie注入和跨站点/杂散JS之类的攻击有多脆弱？

我不想花时间在可能不需要它的应用程序的学习，集成和维护上，所以我的问题是Grails的会话实现对于简单的应用程序是否足够安全，是否有充分的理由？即使是这些琐碎的任务，我也应该使用安全性插件吗？

附带说明一下，如果任何人都可以指出我一个好的OpenID / Facebook登录实现，那就太好了。

Answer 1

关于安全性问题，我总是建议您使用经过验证且被广泛采用的解决方案，而不是自己的滚动式安全实现。 Spring Security于2003年以Acegi的名义成立，为您带来了超过8年的安全开发经验和开发经验。

正如您已经指向Grails Spring Security插件一样，您应该看看OpenID插件Spring Security OpenID ，它扩展了Spring Security Core并为您提供了OpenID支持。

Answer 2

我为什么要为这些琐碎的任务使用安全插件？

...从根本上讲，使用该插件也很简单，那么有什么要失去的呢？ 截屏视频，帮助您入门