如果您不使用Google帳戶進行身份驗證，GAE/Java是否提供強力保護？

Question

我正在Google App Engine上製作Java Web應用程序。

我是否需要爲我的登錄系統推出自己的強力保護 - 因爲我沒有在系統中爲用戶帳戶使用Google帳戶？

還是有內置的功能，使其更容易或不需要我從頭開始做所有事情？

Answer 1

如果您自己進行身份驗證，App Engine無法知道您提供的是一種簽名表單，而不是其他任何內容，因此無法防止暴力破解企圖。因此，你必須自己實現它。

但是，作爲Google帳戶的替代方案，您應該考慮內置的OpenID支持。認真考慮使用其中一種 - 如果你堅持爲你的網站從頭創建另一個帳戶，你的用戶很可能會得不到服務。