QUUKUS提供重定向网址，如果没有验证

Question

我正在构建一个web ui，并决定通过cookie中的jwt获得auth。

我已经得到了最低限度的工作，但当我在一个角色后面保留一个页面时，页面（可以预见）不会加载。我希望能够告诉endpoint重定向到实际的登录页面，而不是不加载。这可能吗？理想情况下，我可以在endpoint上提供一个注释，说“如果未授权，请转到此处”。

设置web uiendpoint的代码：

@Traced
@Slf4j
@Path("/")
@Tags({@Tag(name = "UI")})
@RequestScoped
@Produces(MediaType.TEXT_HTML)
public class Index extends UiProvider {

    @Inject
    @Location("webui/pages/index")
    Template index;
    @Inject
    @Location("webui/pages/overview")
    Template overview;

    @Inject
    UserService userService;

    @Inject
    JsonWebToken jwt;

    @GET
    @PermitAll
    @Produces(MediaType.TEXT_HTML)
    public TemplateInstance index(
            @Context SecurityContext securityContext
    ) {
        logRequestContext(jwt, securityContext);
        return index.instance();
    }

    @GET
    @Path("overview")
    @RolesAllowed("user")
    @Produces(MediaType.TEXT_HTML)
    public TemplateInstance overview(
            @Context SecurityContext securityContext
    ) {
        logRequestContext(jwt, securityContext);
        return overview.instance();
    }
}

Answer 1

这取决于您希望如何处理安全性和导航。如果使用声明性RBAC（@RolesAllowed），则只能通过JAXRS ExceptionMapper控制响应。您需要知道当用户无法访问所需资源时引发的异常；例如，如果用户拥有有效的令牌，但不满足@RolesAllowed约束，则它将是io。夸克斯。安全禁止例外，如果他没有通过有效的凭证，则io。夸克斯。安全未授权异常。

当您知道异常时，您可以定义ExceptionMapper（确保通过@priority设置正确的优先级，因为类路径上可能有其他异常映射器，例如Quarkus在开发模式下提供的异常映射器）。

实际的响应处理取决于客户端是什么：如果它是浏览器，那么您可能希望返回303或302重定向响应，其中位置头包含您的登录URL，以便将原始请求重定向到登录。未授权异常的一个示例：

import io.quarkus.security.UnauthorizedException;

import javax.annotation.Priority;
import javax.ws.rs.core.*;
import javax.ws.rs.ext.ExceptionMapper;
import javax.ws.rs.ext.Provider;

@Provider//register it as jaxrs provider
@Priority(1)//lower number-higher prio
//exception mappers are selected on best match for the exception class
//so make sure you find the particular exception you want to map
public class MyUnauthorizedExceptionMapper implements ExceptionMapper<UnauthorizedException> { 
    @Context//you can inject JAXRS contextual resources here
    UriInfo crc;

    @Override
    public Response toResponse(UnauthorizedException exception) {
        System.out.println("User not authorized to access: " + crc.getRequestUri());
        return Response //seeOther = 303 redirect
                .seeOther(UriBuilder.fromUri("/someLogin")
                        //common pattern is to pass the original URL as param,
                        //so that after successful login, you redirect user back where he wanted
                        .queryParam("returnUrl", crc.getRequestUri())
                        .build())//build the URL where you want to redirect
                .entity("Not authorized")//entity is not required
                .build();
    }
}

另一个选项是，在endpoint内以编程方式处理身份验证，检查主体或当前JWTToken是否具有所需的属性，如果不够，则返回相应的响应，例如返回响应。请参见其他（“/login”）。

这应该是可行的，但如果您的客户机正在执行POST请求，例如一些javascript代码，则可能会导致问题。通常，您最好从专用服务器为UI提供服务，使用Quarkus作为APIendpoint提供程序，通过HTTP/REST在UI和be之间进行通信。这样你就可以更好地控制自己的行为。