JAX-RS安全性和身份验证

Question

我正在开发REST webService，我的一些客户机将使用我的webservices，所以为了识别真正的客户机，我决定给每个真正的客户机一个唯一的应用程序令牌。客户机将对这个令牌进行编码，他们将把这个令牌放在请求头中，我已经在我的REST webservices中配置了一个REST过滤器来验证令牌。我不想使用https。我的问题是，任何人都可以从我的客户端站点获取该令牌，并可以使用我的REST webservices。我怎么才能阻止这一切？

Answer 1

因为您不想使用https，所以我假设这里的机密性不是问题，并且您只想根据谁发出请求来授权请求。与其传递可能被盗用的普通令牌，不如让客户机在他们的请求上签名。你在这里有一个很好的解释：

• 使用Spring Security为REST API实现HMAC身份验证
• 使用HMAC对Web服务请求进行身份验证
• websec.io-API身份验证

简而言之，取自用Spring Security为REST API实现HMAC身份验证：

null

//clientId is the public client identifier
//secretKey is the key shared between server and client
//requestContent is a string representation of the HTTP request (HTTP verb, body, etc.

//init signing key and mac
SecretKeySpec signingKey = new SecretKeySpec(secretKey.getBytes(), "HmacSHA1");
Mac mac = Mac.getInstance("HmacSHA1");
mac.init(signingKey);

//sign the request content
byte[] rawHmac = mac.doFinal(requestContent.getBytes());

//encode to base64
String result = base64(rawHmac);

//store in header
request.setHeader("Authorization", "MyAPI " + clientId + ":" + result);