玩！框架：使用會話進行身份驗證

Question

所以我正在使用Play！ 網站項目的框架。
我正在使用會話來確定用戶是否已登錄：

session("connected", user.getId().toString());

然后，我可以輕松地確定用戶是誰。

我有兩個問題：

1. 這是最好的做法嗎？
2. 我的簡單登錄系統中是否存在漏洞，以及如何廢除漏洞？

Answer 1

它簡單而安全，因為會話范圍的cookie是使用密鑰簽名的。 如果不需要為每個會話存儲大量數據，那么應該沒問題。

查看現有解決方案（即zentasks樣本）。

編輯 ：

另一方面，您可以考慮使用Play Authenticate，我已經在samples / java / play-authenticate-usage中添加了對我的fork（分支2.0.4_session）中的示例的會話處理，它只是3個提交，所以它很容易合並它是現有的play-authenticate-usage實現。