web用户身份验证的Java选项

我正在为公共web应用程序寻找一个安全的用户登录/会话管理组件。Spring Security似乎有潜力，还有其他高质量的替代品吗

从概念上讲，这很容易，我们目前有工作正常的代码，但我更愿意使用已经公开审查过安全缺陷的代码

需要：

• 登录
• 注销
• 安全会话令牌管理（令牌不可猜测）
• 会话到期
• Java/Tomcat支持

---

，原名Ki，在此之前，“是一个功能强大、灵活的开源安全框架，能够干净地处理身份验证、授权、企业会话管理和加密。”它已经存在了一段时间（2006年4月18日首次公开发布），目前已在Apache孵化器中。我想我会提到它作为Spring Security的替代品（虽然我更喜欢自己的Spring Security）。

< P>如果Tomcat不是一个硬的需求，你可以考虑在Sun的GalasFISS服务器上部署你的应用程序。Glassfish是JavaEE技术的参考实现，包括。Glassfish在易管理性方面享有良好声誉。

spring security（前身为acegi）是另一个开源选项。如果您使用的是spring，那么这是一个很好的选择

与ApacheShiro相比，使用GlassFish/JavaEE安全特性的优缺点是什么？无论是在开发过程中还是在部署过程中？您是否愿意评论一下，从基于容器的安全性转移到shiro或其他替代方案何时是好的？请参见此处的更多焦点问题：