SpringSecurity 的一个疑问

[ye22st]

我知道 SpringSecurity 可以用于后台管理系统，那和前端、APP 联调的话，是不是不需要 SpringSecurity ？直接 SpringBoot 和 Redis 控制就行了吧？

[wshcdr]

? 楼主在问什么

[ye22st]

我是想说，后台管理系统可以用 SpringSecurity 来实现，那前端的部分接口，是否还需要 SpringSecurity 去实现，感觉这个有点臃肿。我的意思是，直接使用 SpringBoot+JWT 去实现前端部分接口会不会相比 SpringSecurity 更好一些？前提：后台管理系统和前端部分接口是两个不同的模块（ Module ）。

[HiShan]

@ye22st 使用 Spring Security 实现接口是什么意思？？ 楼主想问啥哦

[arthas2234]

你前端，APP 不需要做鉴权？

[glaucus]

没 GET 到 Spring Security 和 JWT 的冲突点在哪里

[ye22st]

1 、我想使用 SpringSecurity 做后台管理系统的权限管理，其中后台管理系统是一个单独的模块；
2 、提供给 APP 和前端的接口，这是另一个单独的模块，使用 SpringBoot 和 JWT 就可以做到鉴权处理了，我这样做的话应该没错吧。
各位大佬抱歉，刚醒没多久，脑子有点不清醒。。。

[ye22st]

一般来说现在应该也是这样处理的吧？

[tlday]

一个健全的系统不应该只有 Authentication，还应该有 Authorization，更应该有针对各类攻击手段的防范措施。JWT 只是 Authentication 的一种标准，SpringSecurity 是包括对 JWT/OAuth(Authentication)的实现以及 Authorization 和对各类攻击手段防范的整合框架。
所以答案应该是不要自己尝试实现 JWT，而只使用 SpringSecurity 。

[JamesMackerel]

Spring security 这玩意儿真的有人用吗，感觉就是个黑盒，出了问题文档说不清，看源码随随便便就能抽象一堆东西出来，完全理不清楚内部的逻辑。