Spring MVC 和 Spring REST 的 Spring Security

Question

我和我的团队开发了一个小型弹簧项目。我们有 jsp 页面，我们在其中编写了 ajax 调用，并通过这些调用获取数据，作为 JSON，并通过 javascript 显示。现在我们需要为 JSP 页面和 REST 服务添加安全性。

我们的要求：

1. 服务器应该是无状态的
2. 不能期望客户端存储 cookie。
3. 发送到服务器的凭据不应是纯文本

我是 Spring Security 的新手，如果我能在实施它方面获得任何帮助，我将不胜感激。

Answer 1

1 .服务器的状态应该更少。 从 spring 3.1 开始，在 spring 安全 http 标签中设置属性很容易。

<http create-session="stateless"> ..</http>

2 。不能期望客户端存储 cookie。 然后我会为其余的 api 和 ajax 调用选择基本身份验证。 然而，客户端必须缓存用户名和密码，并在每个请求中发送。

3 .服务器的凭据不应是明文。 使用带有有效 SSL 证书的 HTTPS。