诚意满满的技术讨论贴👍，很想认真讨论一下这个问题。

我所在的组一直在负责公司主要产品的 authentication 部分，用的也是 Spring Security ，个人对 Spring Security 有一些粗浅的认识。我先说一下我读完之后的感觉，不一定对，欢迎批评指正。后面我会基于我对楼主需求的理解，实现一个放到 GitHub 上。

1. 个人感觉楼主前半部分对 Spring Security 的理解是没有问题的，Spring Security 就是通过一系列的 Filter 和 Provider 来实现不同的认证方式的。作为业务开发者，我们需要聚焦在如何使用 Spring Security 提供的 Filter 和 Provider 或者自定义 Filter 和 Provider 来实现我们的业务需求。

2. 楼主就是自定义了 Filter 和 Provider ，并做了一定程度的封装 (以 Global* 开头的类)。楼主自己感觉实现不够简洁，我也有同感。个人感觉这里面的原因很大程度是因为这层封装。我觉得这层封装是没有必要的，因为 Spring Security 本身就是一个很好的封装了。如果看这些以 Global* 开头的类，会发现这些类基本也是在调用 Spring Security 提供的 API 。可能没有起到简化代码的作用，反而增加了代码的复杂度。

3. 一个小问题，像 `AuthenticationManager` 和 `AntPathRequestMatcher` 这种 bean ，一般都是让框架自己注入的，没太必要自己去 new 或者用 `SpringUtil` 去获取。

推荐 Rust, 原因是对写的代码有一种莫名的自信

@wangbin11 unescape(atob('JXU1RkFFJTIwJXU0RkUxJTIwc2F5aGVsbG9obw=='))

听起来像是在 LB 层做了 authentication ，token 通过 HTTP header 传给后面的服务，叫法不一，我们内部叫 trusted authentication 。老牌的 IDP 像 Pingfederate 和 SiteMinder 好像都支持类似的功能，不过可能没有楼主的易用。

这是我的用法，在 VPS 端使用 Warp 路由 openai 的流量，一直很稳定，可能也各 VPS 有关。
https://i.imgur.com/qMIrqJx.png

@caiqichang #23 官方的 maven wrapper https://maven.apache.org/wrapper/

包管理工具最好是统一，如果已经有项目在用 Gradle 或 Maven 了，建议保持一致。如果是新项目建议尝试一下 Gradle ，包管理这类的工具有个后发优势，Gradle 吸取了 ivy, maven 和 ant 的长处，优点远大于他的缺点。然后用的时候用 Gradle wrapper ，这是官方的最佳实 ( https://docs.gradle.org/current/userguide/gradle_wrapper.html)。

> Maven 的 pom 映射到 IDEA 的项目定义，会有信息丢失吗？

个人经验，没有遇到过，要相信商业 IDEA 的质量。

> 也就是说，maven 管理项目的表达能力是不是超过了 IDEA 的？

个人认为是的，但是我更推荐用 Gradle 管理项目，比 Maven 的 XML 配置灵活不少。IDEA 对 Gradle 的支持也非常棒，我们内部的一个很复杂的项目用的就是 Gradle ，用 IDEA 打开没有任何问题。

找一个同类型的英文项目，模仿着写

> 听旁边老哥说模板引擎过时了

你这老哥的意思估计是，现在都是后端提供接口，前端用 React/Vue 等前端框架去渲染。

@d3George #4 antd 的 accessibility 支持的没有 MUI 好，是很大的原因。国外比较看重 accessiblity.

@LitterGopher #2 IDEA 有免费的社区版本呀

@hsuehliuyang #43 对 wasm 不熟，在 MDN 上查了一下，但那些指令理解起来还是很费劲。单从内容看，wasm 是用 Go 编译的，用了 crypto/aes 和 crypt/cipher 模块，算法应该是 AES-CBC 。但是我对 Go 和 wasm 的指令都不熟悉，对 AES-CBC 了解过一些，核心算法是对加密内容分成每 16byte 一块，然后和 key 进行 XOR 操作。查找了一下 wasm 中的 xor 操作，整个文件的 xor 操作一共也就是 93 处。对于那些熟悉算法的和 wasm 指令的人来说破解应该不难。

另外，即便不理解算法，也有可能从内存中的 dump 中读取，看到过类似 aes-finder 的工具，不过没有实操过。

@AEP203 #40 JS 估计用的是这个 https://github.com/javascript-obfuscator/javascript-obfuscator

如果你是用来登录，推荐使用手机（最新的 iOS 和 Android 应该都支持）或者电脑自带的 authenticator ，比 Yubikey 方便，还不容易丢。

4. 单词的开始边界和结束边界虽然都是边界，但是如果要区分这两个边界的话，肯定要用两个字符表示才能区分呀。你有更好的方法吗？