無狀態模式如何影響Play中的安全性！框架？

Question

Play中的無狀態操作模式！ 據說框架不如有狀態模式安全。 它如何影響Play框架，是否有可能改善關鍵公共Web應用程序的安全性缺陷？

Answer 1

首先，你說無國籍人不太安全嗎？ 你有什么特別的理由認為是這種情況嗎？

無狀態模型的想法是，您不會在服務器端不必要地將數據存儲在會話中，這導致您必須在會話期間在同一服務器上繼續“會話聊天”。

如果要模仿J2EE會話，則只需使用session.id並將所有狀態存儲在數據庫中，並在會話結束時刪除。

會話cookie本身已簽名，因此無法被篡改，因此無需擔心有人可以劫持會話ID，但如果您特別擔心，那么您只需將自己的標識符存儲在會話cookie中，然后對其進行加密即可。使用Crypto實用程序類，它使用應用程序的密鑰來加密/解密數據。

無狀態只是心態的改變，只要你不會在會話中不必要地存儲數據（這可能就是你來自哪里），那么你應該很少擔心。

Answer 2

它並不是那個游戲的無狀態模型不那么安全，只是沒有像這樣的可以與Spring Security相媲美的Java安全庫。

安全模塊目前可用於非常基本的，並且不提供Spring Security的三分之一功能。

在開發出與Spring Security類似的安全模塊之前，我擔心在企業應用程序世界中游戲無法發揮作用。 目前，對於簡單的博客應用程序來說這很好。

很可惜Spring Security依賴於Spring和servlet API。