如何在Java中使用Jersey安全性注释绕过Servlet过滤器中的路径

Question

我已经使用Jersey实现了REST服务。为了让更多的安全，我加入了球衣安全注解为REST方法（@PermitAll，@DenyAll）。

以下是我的示例REST服务：

@GET
@Path("/getall")
@Produces(MediaType.APPLICATION_JSON)
@PermitAll
public String getChartSupportedData(@QueryParam("items") int result) {
    // my code goes here
}

但是问题是，以前我使用javax.servlet.Filter过滤器来验证URI。

web.xml：

<filter>
    <filter-name>ApplicationFilter</filter-name>
    <filter-class>web.filter.ApplicationFilter</filter-class>
</filter>
<filter-mapping>
       <filter-name>ApplicationFilter</filter-name>
       <url-pattern>/rest/api/*</url-pattern>
       <dispatcher>REQUEST</dispatcher>
       <dispatcher>ASYNC</dispatcher>           
</filter-mapping>

根据访问某些REST服务，HttpServletRequest应包含一个有效的令牌（由应用程序生成）。

某些REST端点不需要令牌即可访问服务。在这种情况下，我必须绕过过滤器的实现：

private static String[] bypassPaths = { "/data/getall" };

所以我的要求是这样的。

如果我们声明了某个REST端点，则@PermitAll该路径不应在filter中声明为旁路路径，这样任何人都可以使用有效令牌来访问它。

但是问题在于，当请求进入服务器时，过滤器始终在过滤；如果不在旁路数组中，则即使我声明为，请求也不会继续@PermitAll。

我想知道是否可以在同一Web应用程序中结合使用这两个安全选项。

Answer 1

由于您正在执行身份验证和/或授权，因此我建议您使用名称绑定过滤器来代替servlet过滤器，以便您可以轻松地将它们绑定到所需的资源。

要将过滤器绑定到您的REST端点，JAX-
RS提供了元注释@NameBinding，可以如下使用：

@NameBinding
@Retention(RUNTIME)
@Target({TYPE, METHOD})
public @interface Secured { }

该@Secured注释将被用来装饰一个过滤器类，它实现ContainerRequestFilter，让您处理请求。

在ContainerRequestContext帮助你提取HTTP请求信息（更多详情，看看该ContainerRequestContextAPI）：

@Secured
@Provider
@Priority(Priorities.AUTHENTICATION)
public class SecurityFilter implements ContainerRequestFilter {

    @Override
    public void filter(ContainerRequestContext requestContext) throws IOException {
        // Use the ContainerRequestContext to extract information from the HTTP request
        // Information such as the URI, headers and HTTP entity are available
    }
}

ContainerRequestFilter#filter()如果用户未通过身份验证/授权，则该方法是中止请求的好地方。为此，您可以使用ContainerRequestContext#abortWith()或引发异常。

该@Provider注释标记的扩展接口，应该由JAX-
RS是可发现的实现过程中提供扫描相运行时。

要将过滤器绑定到端点方法或类，请使用@Secured上面创建的注释对它们进行 注释。对于带有注释的方法和/或类，将执行过滤器。

@Path("/")
public class MyEndpoint {

    @GET
    @Path("{id}")
    @Produces("application/json")
    public Response myUnsecuredMethod(@PathParam("id") Long id) {
        // This method is not annotated with @Secured
        // The security filter won't be executed before invoking this method
        ...
    }

    @DELETE
    @Secured
    @Path("{id}")
    @Produces("application/json")
    public Response mySecuredMethod(@PathParam("id") Long id) {
        // This method is annotated with @Secured
        // The security filter will be executed before invoking this method
        ...
    }
}

在上面的示例中，安全过滤器仅针对进行执行，mySecuredMethod(Long)因为它带有注释@Secured。

您可以根据需要为REST端点设置任意数量的过滤器。为了确保过滤器的执行顺序，请使用注释它们@Priority。

强烈建议使用Priorities该类中定义的值之一（将使用以下顺序）：

• AUTHENTICATION
• AUTHORIZATION
• ENTITY_CODER
• HEADER_DECORATOR
• USER

如果您的过滤器未使用注释@Priority，则将USER优先执行过滤器。

您可以将此方法与Jersey安全机制结合使用。

此外，你可以注入ResourceInfo你的ContainerRequestFilter：

    @Context
    private ResourceInfo resourceInfo;

它可以用来获取Method并Class与请求的URL匹配：

    Class<?> resourceClass = resourceInfo.getResourceClass();
    Method resourceMethod = resourceInfo.getResourceMethod();

并从中提取注释：

    Annotation[] annotations = resourceClass.getDeclaredAnnotations();
    PermitAll annotation = resourceMethod.getAnnotation(PermitAll.class);