sureness 正式 GA 啦，比 shiro,spring security 快几倍，面向 rest api 的安全框架

[tomsun28]

大家周一好，经过 22 个版本，2 年多的迭代，很高兴激动宣布面向 rest api 的安全框架-sureness，正式 GA 啦。

📫 背景

在主流的前后端分离架构中，如何通过有效快速的认证鉴权来保护后端提供的restful api变得尤为重要。对现存框架，不原生支持rest的apache shiro， 还是深度绑定spring，较慢性能，学习曲线陡峭的spring security，或多或少都不是我们的理想型。
于是乎sureness诞生了，我们希望能解决这些，提供一个面向restful api，无框架依赖，可以动态修改权限，多认证策略，更快速度，易用易扩展的认证鉴权框架。

🎡 介绍

sureness 是我们在深度使用权限框架 apache shiro 之后,吸取其一些优点全新设计开发的一个认证鉴权框架
面向 restful api 的认证鉴权,基于 rbac (用户-角色-资源)主要关注于对 restful api 的安全保护
无特定框架依赖(本质就是过滤器处拦截判断,已有springboot,quarkus,javalin,ktor等集成样例)
支持动态修改权限配置(动态修改配置每个rest api谁有权访问)
支持 websocket ,主流http容器 servlet 和 jax-rs
支持多种认证策略, jwt, basic auth, digest auth ... 可扩展自定义支持的认证方式
基于改进的字典匹配树拥有的高性能
良好的扩展接口, 样例和文档

sureness的低配置，易扩展，不耦合其他框架，希望能帮助开发者对自己的项目多场景快速安全的进行保护

🔍 框架对比

~	sureness	shiro	spring security
多框架支持	支持	需改动支持	不支持
restful api	支持	需改动支持	支持
websocket	支持	不支持	不支持
过滤链匹配	优化的字典匹配树	ant 匹配	ant 匹配
注解支持	支持	支持	支持
servlet	支持	支持	支持
jax-rs	支持	不支持	不支持
权限动态修改	支持	需改动支持	需改动支持
性能速度	较快	较慢	较慢
学习曲线	简单	简单	陡峭

📈 基准性能测试

基准测试显示 sureness 对比无权限框架应用损耗 0.026ms 性能，shiro 损耗 0.088ms,spring security 损耗 0.116ms， 相比之下 sureness 基本不消耗性能，且性能(参考 TPS 损耗)是 shiro 的 3 倍，spring security 的 4 倍
性能差距会随着 api 匹配链的增加而进一步拉大
详见基准测试

✌ 框架支持样例

• sureness 集成 springboot 样例(配置文件方案) sample-bootstrap
• sureness 集成 springboot 样例(数据库方案) sample-tom
• sureness 集成 quarkus 样例 sample-quarkus
• sureness 集成 javalin 样例 sample-javalin
• sureness 集成 ktor 样例 sample-ktor
• sureness 集成 spring webflux 样例 sample-spring-webflux
• more samples todo

项目仓库地址，欢迎使用，开源不易，觉得不错请大佬们 star 下给予鼓励，弯腰感谢。

GITHUB 仓库地址
GITEE 仓库地址

[bthulu]

如果某个 restful api 所有人都可以访问, 但是不同的人只能拿到自己具有权限的数据.
来个简单的示例: mysql 的 show databases, root 账号可以看到所有库, 其余账号只能看到被授权的库.
对于这种, sureness 是怎么处理的呢?

[tomsun28]

@bthulu 你说的这个属于数据权限了，一般情况下数据权限我们是写代码或者 sql (类似 where user=who)来过滤，这里的 who 等用户信息可以通过 sureness 认证鉴权后拿到。

[sun5244725]

看好。支持一下

[tomsun28]

@sun5244725 thanks