使用 Spring Security 对 2 个生产服务器的 Web 应用程序用户进行身份验证

Question

在基于 Java 的 Web 应用程序的服务器端工作（将服务于移动和 Web 客户端），我需要实现用户身份验证。 在生产中，我有 2 台带有负载平衡器的服务器（重复，针对同一个数据库工作）。 我之前使用过 Spring security，所以这对我来说是最直观的方式，但这是我的问题：

Spring security 会针对 DB 对用户进行一次身份验证（当用户登录时），随后的请求将使用基于会话的令牌进行处理和身份验证。 现在，假设我的一个生产服务器出现故障，然后我失去了我的会话，这意味着用户将得到某种“未经授权”的响应。 我该如何处理？

我想到了 3 个选项

1. 使用诸如redis 之类的键值存储并将我的令牌保存在那里。 如果我这样做，我想我必须干扰 springs 核心代码 - 一次在用户登录时（将令牌保存到键值存储），一次在对用户进行身份验证时（针对此键值存储而不是 spring 的输入进行身份验证）内存 HttpSessionSecurityContextRepository）。
2. 以在每个请求中针对数据库对用户进行身份验证的方式使用 Spring 安全性（我不确定这是否可能）。
3. 不使用 spring 安全性，只需创建一个过滤器或一些拦截器，以便对数据库的每个请求进行身份验证。 这意味着两件事：第一是我的客户必须将用户名和密码应用于每个请求（可能在标题中），第二是我必须为每个请求查询数据库。

所以这些是我的想法，如果你有的话，我想得到你对这些的见解和新的建议。

Answer 1

用户在整个会话中保持的状态如何？ 如果您遇到这种情况，那么如果服务器出现故障，您将丢失数据。

我认为最好的方法是从这里的粘性会话机制开始，并保持身份验证不变。

粘性会话可以在负载均衡器上配置，通常意味着以下内容：

• 一旦来自 IP A 的使用在服务器 S1 上打开您的应用程序，所有后续请求都将重定向到该服务器，但下一个用户将自动连接到服务器 S2（负载均衡器将做出这样的决定）。 总而言之，如果您有 10 个用户同时工作，其中 5 个将连接到服务器 S1，其余连接到服务器 B。

我不认为对每个请求进行身份验证是一个好主意（想想 web 2，ajax 请求） - 这将使您的服务器和数据库负载很高，因此它将无法处理大量用户/请求同时。

希望这可以帮助