在JAX-RS请求过滤器之间共享数据的最佳方法

Question

我想验证一个发出请求的用户。为此，我有两个过滤器：AuthenticationFilter和authorizationfilter。AuthenticationFilter从请求中提取令牌并从数据库中查找用户。AuthorizationFilter检查该用户（由上一个筛选器检索）是否具有必要的权限。我有两个可能的解决方案，想知道每一个的利弊，我应该使用哪一个。我还需要访问实际业务逻辑中的用户。我的代码如下：

AuthenticationFilter：

@Secured
@Provider
@Priority(Priorities.AUTHENTICATION)
public class AuthenticationFilter implements ContainerRequestFilter {

    // option 1.1
    @Inject
    @AuthenticatedUser
    private Event<User> authenticatedUserEvent;

    // option 1.2
    @Inject
    @AuthenticatedUser
    private User authenticatedUser;

    public void filter(ContainerRequestContext requestContext) throws IOException {
        String token = getToken(requestContext);
        User user = getUser(token)
        if (user == null) {
            requestContext.abortWith(...);
        } else {
            // option 1.1
            authenticatedUserEvent.fire(User);

            // option 1.2
            authenticatedUser.setData(user);

            // option 2
            requestContext.setProperty("authenticatedUser", user);
        }
    }
}

AuthorizationFilter：

@Secured
@Provider
@Priority(Priorities.AUTHORIZATION)
public class AuthorizationFilter implements ContainerRequestFilter {

    @Context
    private ResourceInfo resourceInfo;

    // option 1
    @Inject
    @AuthenticatedUser
    private User authenticatedUser;

    public void filter(ContainerRequestContext requestContext) throws IOException {

        // option 2
        User authenticatedUser = (User) requestContext.getProperty("authenticatedUser")

        boolean allowed = verifyRoles(user, resourceInfo.getResourceClass(), resourceInfo.getResourceMethod());
        if (!allowed) {
            requestContext.abortWith(...);
        }
    }
}

AuthenticatedUserProducer（仅用于选项1）：

@RequestScoped
public class AuthenticatedUserProducer {

    @Produces
    @RequestScoped
    @AuthenticatedUser
    private User authenticatedUser;

    public void handleAuthenticationEvent(@Observes @AuthenticatedUser User user) {
        this.authenticatedUser = user
    }
}

对于选项1，是否有必要使用@requestscoped注释筛选器？默认情况下，过滤器是应用范围的，那么注入是安全的吗？即，如果同时处理多个请求，则由请求链1中的过滤器1触发的事件将不会被注入链2的过滤器2中？在实际业务逻辑运行的资源类中注入用户时也是如此？

对于选项2，我不再有权访问ContainerRequestContext，但可以通过注入HttpServletRequest来访问对象。但是这个选项在我看来“不太干净”，因为我必须在使用之前将存储的对象转换给用户，而当使用注入方法时，我可以直接使用对象。

我已经检查了这些问题，我正在寻找的是确定哪个选项是最好的：

• 如何将对象从ContainerRequestFilter传递到资源
• 将数据从ContainerRequestFilter传递到资源
• JAX-RS筛选器将对象传递到资源
• JAX-RS 2筛选器的作用域是什么？
• 获取ContainerRequestFilter内部的资源类批注值

我目前使用的是WildFly11，它的默认实现是JAX-RS（Resteasy）和CDI（Weld）。

Answer 1

执行身份验证/授权之后，就可以使用securitycontext，这是JAX-RS API的一部分。请参阅如何在身份验证筛选器中使用它的示例：

final SecurityContext currentSecurityContext = requestContext.getSecurityContext();
requestContext.setSecurityContext(new SecurityContext() {

        @Override
        public Principal getUserPrincipal() {
            // Return a Principal instance according to your needs
            return () -> username;
        }

    @Override
    public boolean isUserInRole(String role) {
        return true;
    }

    @Override
    public boolean isSecure() {
        return currentSecurityContext.isSecure();
    }

    @Override
    public String getAuthenticationScheme() {
        // Return the authentication scheme used by your application
        return SecurityContext.BASIC_AUTH;
    }
});

然后使用@context注释将SecurityContext注入到JAX-RS资源和提供程序中：

@Context
SecurityContext securityContext;

然后您可以获得SecurityContext中设置的Principal实例：

Principal principal = securityContext.getUserPrincipal();