构建JWT身份验证中的spring安全性与我们使用任何JWT依赖并提供其实现时的主要区别是什么？
构建JWT身份验证中的Spring安全性与使用任何JWT依赖并提供其实现时的主要区别如下：
- Spring安全性的优势：
- 集成性：Spring Security是一个功能强大且全面的安全框架，提供了许多与身份验证和授权相关的功能，如用户认证、角色授权、会话管理等。它可以与Spring框架无缝集成，简化了开发过程。
- 可定制性：Spring Security提供了丰富的配置选项和扩展点，可以根据具体需求进行定制。开发人员可以通过配置文件或编程方式定义安全规则，以满足不同的业务需求。
- 多种身份验证方式：Spring Security支持多种身份验证方式，包括基于表单的身份验证、基于HTTP基本认证、基于LDAP的认证等。开发人员可以根据实际情况选择适合的身份验证方式。
- 集成其他Spring组件：Spring Security可以与其他Spring组件（如Spring Boot、Spring MVC等）无缝集成，提供更完整的解决方案。
- JWT依赖的实现：
- JWT（JSON Web Token）是一种用于身份验证和授权的开放标准。它使用JSON格式将声明信息进行编码，并使用签名或加密保证信息的完整性和安全性。在使用JWT时，我们通常会依赖一些库或框架来实现JWT的生成、验证和解析。
- JWT依赖的实现通常提供了一些API和工具，用于生成和解析JWT，以及验证JWT的签名或加密。这些实现可以帮助开发人员简化JWT的使用过程，提高开发效率。
主要区别：
- Spring安全性是一个完整的安全框架，提供了丰富的功能和选项，用于处理身份验证和授权。它不仅仅是JWT的实现，还包括其他安全相关的功能。而使用任何JWT依赖并提供其实现时，只关注JWT的生成、验证和解析等方面。
- Spring安全性可以与其他Spring组件无缝集成，提供更完整的解决方案。而使用任何JWT依赖时，需要自行处理与其他组件的集成。
- Spring安全性提供了多种身份验证方式，可以根据实际情况选择适合的方式。而使用任何JWT依赖时，需要自行处理身份验证方式的选择和实现。
- Spring安全性具有更高的可定制性，可以根据具体需求进行定制。而使用任何JWT依赖时，定制性可能会受到限制。
推荐的腾讯云相关产品和产品介绍链接地址：
- 腾讯云身份认证服务（CAM）：https://cloud.tencent.com/product/cam
- 腾讯云API网关（API Gateway）：https://cloud.tencent.com/product/apigateway
- 腾讯云访问管理（CVM）：https://cloud.tencent.com/product/cvm
- 腾讯云密钥管理系统（KMS）：https://cloud.tencent.com/product/kms
相关·内容
2回答
Spring Security JWT和Oauth2
spring-security、jwt、spring-security-oauth2
我想使用Spring Security设置一个中央认证/授权服务器，从那里我可以获取JWT令牌，然后我可以使用它来访问另一个Spring Security备份的REST服务器上的受限资源。
下面是我的流程：
1) HTML JS / Mobile etc客户端在认证服务器上进行身份验证以获得JWT令牌2)客户端将该令牌以HTTP报头形式发送到REST服务器，以获得对安全资源的访问权限
我认为JWT最适合这个场景，因为它可以包含所有相关数据，而REST服务器可以是完全无状态的，只需解码令牌即可获得所有必要的数据(角色、客户端I、电子邮件...)
Oauth2是正确的选择吗?如果是的话，有人能告诉
浏览 2提问于2014-02-20得票数 5
4回答
如何在微服务体系结构中实现基于角色的安全
spring-boot、spring-security、microservices、spring-cloud、netflix-zuul
我有一个spring-boot应用程序，它有4个微服务、eureka服务器和一个集中的API网关。
所有外部流量都通过我的API网关到达我的微服务。
我的API网关(Zuul)正在验证和验证JWT token。
JWT令牌是在用户登录后由我的一个微服务(users微服务)生成的，该令牌包含用户Id及其角色/权限。
现在，我想在微服务而不是网关中的方法上实现基于角色的安全性。
我尝试过使用@PreAuthorize，但它不能在网关之外工作(显然，为了让它工作，我必须在我的微服务的SecurityContextHolder中设置一个Spring Security身份验证对象，并用权限填充它)。
那
浏览 3提问于2020-01-17得票数 7
2回答
Spring Boot 2公共客户端授权服务器(PKCE)
spring、spring-boot、spring-security、keycloak、spring-security-oauth2
在当前版本的spring security中，是否可以为PKCE身份验证创建授权服务器？
我做了一些研究，发现了这个授权服务器项目，但是这个项目没有可用的示例。
我还发现spring推荐Keycloak作为授权服务器，但它不适合我的情况。我们需要能够根据远程服务获取和验证用户，然后使用授权服务器仅用于生成和验证jwt令牌。在我的知识中，Keycloak也应该持有用户，对吗？所以最好的解决方案是定制spring独立授权服务器。这在某种程度上是可能的吗？谢谢!
浏览 3提问于2020-05-26得票数 2
2回答
将JWT存储在数据库中有意义吗？
spring、rest、security、oauth-2.0、jwt
我实现了一个基本的认证系统，使用Spring Boot、Spring Security、OAUTH2和JWT作为认证令牌。它工作得很好，但我在想，是否有必要将JWT存储在数据库中，并在每次有人使用令牌进行身份验证请求时检查令牌是否存在？我特别考虑了以下场景:用户在移动设备中进行了身份验证，但他们丢失了身份验证，因此他们希望取消对该设备的授权。然后，他们将能够发出一个操作，该操作清除发放给他们的用户id的令牌，并解除对分配给他的所有令牌的授权。还有别的办法吗？我是不是想错了，还是把事情复杂化了？
这是为了保护将要从移动应用程序调用的REST API。
浏览 0提问于2017-03-13得票数 55
回答已采纳
1回答
Spring安全OAuth -它可以使用来自Keycloak的JWT令牌吗？
spring、oauth、spring-security、jwt、keycloak
在Security中，它能使用使用OAuth认证的用户生成的JWT令牌吗？但这一切似乎都是非常相似的。我仍在努力理解分界线，以及与此相似或相同的东西。
基本上，我希望在REST客户机中分别进行身份验证，然后使用授权头中的令牌对某些web服务进行REST调用。在中似乎有一些JWT内容，所以我想知道我是否真的可以用它来代替密钥披风OAuth呢？有这样的例子吗？(我希望在控制器中对不同方法使用Spring安全检查)
浏览 0提问于2016-01-19得票数 3
回答已采纳
6回答
用邮递员测试弹簧安全性
spring-security、postman
我已经使用Spring安全性配置了一个表单基身份验证。当我在我的web应用程序中使用登录表单登录时，它工作得很好。
它还与cURL一起工作：
curl --data "j_username=myname&j_password=mypassword" http://localhost:8080/test/j_spring_security_check --verbose
然而，我不能用邮递员让它工作：
少了什么？我需要经过认证才能测试其他服务。
浏览 7提问于2015-05-28得票数 22
回答已采纳
1回答
Spring Security - Rest API
java、spring、rest、authentication
我是spring security的新手
我有一个使用vuejs构建的前端应用程序，它调用spring rest api与后端系统交互。
我有一个用户输入密码的登录页。我希望能够授权用户，如果他的登录是正确的，并为随后的请求授权他与rememberMe令牌。
我知道有很多关于这个话题的信息，但是
实施的正确方式是什么？我应该使用基本身份验证吗？如果我使用的是基本身份验证，我应该如何将记住我与基本身份验证一起设置？
是否应该在post调用中处理身份验证，而不是使用身份验证过滤器？
浏览 4提问于2017-08-02得票数 0
1回答
在Spring 2上实现基于过滤器的JWT认证与OAuth2 JWT认证
spring-boot、jwt、spring-security-oauth2、java-ee-8
正如我所理解的，OAuth2框架需要一个定制的JWT身份验证服务器，我必须为基于过滤器的JWT实现创建一个带有JWT实用程序类的自定义安全过滤器。
然而，我的问题是，在Spring 2上实现JWT的最佳方法是什么？基于过滤的认证还是OAuth2？
根据客户和应用程序的性质，是否有任何利弊？
例如，如果应用程序管理不同的客户端，如移动、web、web服务等，那么OAuth2身份验证是否具有任何优势？
注意:我的问题与Spring+ web应用程序的安全性有关.
浏览 1提问于2018-06-20得票数 1
2回答
为什么我要使用JAAS来对抗手工编写的安全性？
java、security、jakarta-ee、jaas
我得到了手写的安全性，简单的servlet过滤器，可以将未经授权的用户重定向到他们的登录页面。登录控制器在身份验证成功后将它们重定向到请求的URL或它们的主页。这种方法工作得很好，唯一的缺点是，我必须通过堆栈跟踪将存储在HttpSession中的用户对象传递给EJB。
现在，我重写了一些代码，并使用Spring-security作为基于http的身份验证。它自动与Glassfish JAAS集成。
我不再需要通过堆栈跟踪传递用户，调用sessionContext.getCallerPrincipal()就足够了。但是主体对象只返回userName，而不是userId，所以我必须执行加法选择，例
浏览 0提问于2011-04-21得票数 13
回答已采纳
7回答
Java中用于用户身份验证的设计模式
java、design-patterns
有一些公共组件跨项目使用：
用户认证和授权
异常处理
日志记录
电子邮件
DataBase访问
缓存等
是否有一个一致的设计模式可以用于每个这些公共模块？顺便说一句，框架可以不同，比如JAAS/JNDI用于用户身份验证和授权，log4j/java日志记录用于日志记录，JavaMail用于E，JDBC/Hibernate用于DataBase访问。
例如，有用于数据库访问的DAO。无论使用何种框架(JAAS/JNDI/SSO)，是否有任何良好的设计模式可用于用户身份验证和授权？
浏览 9提问于2008-10-26得票数 2
1回答
不使用Spring安全认证？
java、security、spring、authentication、spring-security
Spring Security 3的参考资料说：
5.3认证
Security可以参与许多不同的身份验证环境。虽然我们建议人们使用Security进行身份验证，而不是与现有的容器管理身份验证集成，但仍然支持它--正如与您自己的专有身份验证系统集成一样。
根据那篇文章，我不知道该做些什么来保证安全。有人能解释我吗？
链接：
浏览 4提问于2011-09-11得票数 1
回答已采纳
1回答
与Apple安全公司签到链接帐户
security、jwt、sign-in-with-apple
假设您在web平台上有一个现有的用户管理/数据库。为了更快地登录和注册过程，与苹果公司的登录应该集成在一起--尽管它总是会创建一个与电子邮件地址链接的常规帐户(只是没有常规密码)。使用苹果提供的(验证的) JWT认证安全吗？
登录(现有帐户)将采取以下步骤：
用户在应用程序中点击“与苹果登录”
从Apple生成的JWT被发送到身份验证服务器
服务器使用Apple的API端点提供的公钥验证JWT
服务器从(验证的) JWT中提取电子邮件，如果存在该电子邮件的用户，则该用户将被登录(API返回会话的内部访问/刷新令牌)
浏览 2提问于2021-02-10得票数 0
回答已采纳
1回答
通过公开公共和私有端点
spring-boot、keycloak、spring-security-oauth2、spring-cloud-gateway
我使用Spring作为基础设施的入口点。网关配置了keycloak，以便使用以下配置验证身份验证头
spring:
security:
oauth2:
resource-server:
jwt:
jwk-set-uri: https://httpd.keycloak.local:443/keycloak/realms/myRealm/protocol/openid-connect/certs
下面是一个示例路由
spring:
cloud:
gateway:
routes:
- id: my-r
浏览 3提问于2022-08-02得票数 0
2回答
在API网关(Kong HQ) + Keycloak + Spring启动微服务上管理授权
spring-boot、microservices、keycloak、kong
我正在开发一个Microservices体系结构，在该架构中我使用了以下组件：
KongHQ作为API网关
作为IAM解决方案的Keycloak
用Spring编写的微服务。
我的基本要求是将身份验证/授权与Spring微服务完全分离。因此，API的认证和授权应该在API网关层进行。大多数文章和教程都会重新注释，以便将Keycloak与Spring集成在一起。我真的很想知道这个要求是否可行，如果是的话，如何做呢？
浏览 18提问于2022-09-07得票数 0
回答已采纳
2回答
何时Spring授权服务器支持spring 2.6.x和spring starter OAuth2-Client
spring-boot、spring-security
我不想重复以前的其他线索。虽然这是一个已知的问题，但我不认为这会被追踪到任何地方。如果它被追踪了，请指出正确的方向。
目前，Spring授权服务器使用SpringBoot2.5.x。众所周知，这与spring starter OAuth2-客户端实现和Jwt令牌以及spring-授权服务器的实现不一致。
这意味着您可以使用Spring 2.6.x成功地运行spring授权服务器，但您不能添加依赖spring-启动启动-OAuth2-客户端。
这就是我被困的地方。我希望使用位于这里的代码库：中的联邦示例来实现一个联邦安全示例
2022-04-25 14:14:34.067 ERROR 54601
浏览 10提问于2022-04-25得票数 0
2回答
如何在Spring Secuirty 3.1中实现无认证、无授权的并发会话控制
spring、session、spring-security、authorization
我需要使用Spring Security的并发会话控制特性。我需要使登录用户(单用户登录)的前一个会话无效。我不需要身份验证和授权功能，因为它已经由使用Servlet(Filter)的应用程序实现了，Servlet调用serice层，而serice层又调用da层(Hibernate)。
请指导我如何实现无认证、无授权的并发会话控制。
谢谢，巴兰达
浏览 0提问于2012-04-20得票数 0
5回答
可以有多个腾讯云帐号认证为同一家企业吗？
企业、腾讯云帐号
已经有个腾讯云帐号，脑子迷糊用私人qq号注册的，还完成了企业认证，
后面如果有技术团队了，那不就意味着这个私人qq号要拿出来给团队用。所以想重新申请个腾讯云帐号，做企业认证时能通过吗？（前面已经有一个腾讯云帐号认证为这家企业）
浏览 3219提问于2017-09-14
1回答
Ouath2 + jwt与弹簧引导
spring-boot、spring-security、oauth、jwt
我希望在后端rest中安全地在oauth2 + jwt中实现。
我想在spring引导中实现以下身份验证流，但我不知道如何实现: 1.用户经过身份验证。2.接收到该请求，并使用该登录和密码攻击验证凭据的ws。3.如果是正确的，则在数据库4中搜索一系列数据和权限。如果是正确的，则授予访问权，并生成jwt令牌。
我对此感到迷茫，因为我读到了很多东西，我不知道该怎么做。有什么手册或帖子我可以跟踪吗？
浏览 1提问于2020-03-06得票数 0
回答已采纳
2回答
"Spring安全“和"Java身份验证和授权服务(Jaas)”
security、spring、authorization、jaas
我对Spring和Spring安全性非常陌生，我们有一个扩展的java应用程序(不是web应用程序)，并且尝试使用spring作为框架。我读过一些关于jaas的文章，并为我的应用程序创建了一个简单的jaas安全框架(不是一个完美的框架)。
现在，当我们想要合并到Spring框架时，我有一些问题：
是基于" jaas“的”Security“，还是可以使用jaas作为可选的提供者，可以用完全不同的东西来代替？
“Security”是否有能力在一个应用程序中管理多个并行用户？(特别是授权)
我发现，要将基本的jaas转换为有用的api (使用DB、用户/组管理类、.)，那么
浏览 1提问于2011-09-04得票数 9
回答已采纳
1回答
jar如何在使用它的web应用程序中传播漏洞？
spring、spring-mvc、spring-security、jar
我有一个受Security保护的Spring应用程序。生活似乎如此平静，直到我被迫做了一个静态的应用程序安全测试(SAST)，并且这个工具抛出了许多安全问题。看看这里：
我已经浏览了所有的CVEs，并粗略地了解了这些漏洞。我有几个问题：
当像security这样的安全框架被集成在一起时，web应用程序如何容易受到这种攻击？
我是否可以忽略所有这些漏洞，因为Security可能对所有这些漏洞都有某种解决办法？
浏览 3提问于2017-10-12得票数 12
回答已采纳
扫码
添加站长 进交流群
领取专属 10元无门槛券
手把手带您无忧上云
相关资讯
热门标签
云服务器
即时通信 IM
ICP备案
对象存储
实时音视频活动推荐
腾讯云开发者
