重置身份验证器凭据

Question

实用程序类中有一个静态方法，该方法将从URL下载文件。已经设置了身份验证器，以便如果需要用户名和密码，则可以检索凭据。问题是，只要凭据有效，来自第一个成功连接的凭据将用于每个连接后缀。这是一个问题，因为我们的代码是多用户的，并且由于没有为每个连接检查凭据，所以没有适当凭据的用户可能会下载文件。

这是我们正在使用的代码

private static URLAuthenticator auth;

public static File download(String url, String username, String password, File newFile)
{
    auth.set(username, password);
    Authenticator.setDefault(auth);
    URL fURL = new URL(url);
    OutputStream out = new BufferedOutputStream(new FileOutputStream(newFile));
    URLConnection conn = fURL.openConnection();
    InputStream in = conn.getInputStream();

    try
    {
        copyStream(in, out);
    }
    finally
    {
        if (in != null)
            in.close();
        if (out != null)
            out.close();
    }

    return newFile;
}

public class URLAuthenticator extends Authenticator
{
    private String username;
    private String password;

    public URLAuthenticator(String username, String password)
    {
         set(username, password);
    }

    public void set(String username, String password)
    {
        this.username = username;
        this.password = password;
    }

    protected PasswordAuthentication getPasswordAuthentication()
    {
        log.debug("Retrieving credentials '" + username + "', '" + password + "'.");
        return new PasswordAuthentication(username, password.toCharArray());
    }
}

第一次下载文件时，我只从getPasswordAuthentication中看到一次日志语句。在第一次成功尝试之后，即使已重置凭据，也不会再次调用getPasswordAuthentication。结果是，在第一次成功连接后，可以输入无效的凭据，并且仍然可以建立成功的连接。这可能是因为download方法是静态的，并且是在静态类中的结果吗？

编辑 我忘了提到这是在tomcat下运行的JSF Web应用程序中的-也许其中一项技术是在某处设置一些默认凭据？

我已经将URLAuthenticator放入其自己的类中，并使其尽可能地是非静态的，但是问题仍然存在。我已经读过，如果将Authenticator.setDefault（null）的默认身份验证器设置为null，则在Windows上将使用NTLM身份验证。因为我每次都设置Authenticator，但这不是问题，但我想我应该把它丢在那里。肯定会使用NTLM身份验证，因为如果服务器以可以访问下载文件的用户身份运行，则甚至不需要输入凭据，文件就可以下载。所以很明显，是在我的凭据被获取并在身份验证器被调用之前传递给了我。

Answer 1

我至少知道了一些东西。看来，这种行为是一个错误。一种解决方法是使用特定于Sun的类来显式重置缓存，如下所示：

import sun.net.www.protocol.http.AuthCacheValue;
import sun.net.www.protocol.http.AuthCacheImpl;
....
AuthCacheValue.setAuthCache(new AuthCacheImpl());
Authenticator.setDefault(new URLAuthenticator(username, password));

我正在问题中描述的下载功能顶部重置AuthCache。在编译期间，您会收到有关使用这些类的警告。这不能完全解决问题：如果NTLM身份验证有效，则仍然不会调用身份验证器，但是只要服务器在没有所请求文件权限的用户下运行，就应该清除缓存出来。