如何在注入到JAX-RS WebService中的CDI bean中获取HTTP请求头？

Question

我有这样一个web服务：

@Path("/projects")
public class Projects {
    [...]

    @Inject
    CurrentRequest current;

    @GET
    @Produces(MediaType.APPLICATION_JSON)
    @Path("{id}")
    public Response getProject(@PathParam("id") String id) {
        if (current.isUserAuthenticated()) {
            [...do something...]
        } else {
            [...produce an error...]
        }
    }
}

和带有身份验证检查器方法的CDI bean,如下所示：

@RequestScoped
public class CurrentRequest {

    public boolean isUserAuthenticated() {
        [...do some header checking...]
    }
}

我目前的方法是在projects内部使用@context HttpServletRequest request并将其作为参数传递给current.isUserAuthenticated(request)。但这感觉太不对劲了。难道CDI bean不应该知道自己的请求吗？

我错过了什么？

Answer 1

您不需要JAX-RSendpoint中的HttpServletRequest来从请求中获取HTTP头。相反，您可以注入httpheaders:

@Context
HttpHeaders httpHeaders;

然后可以使用HttpHeadersAPI获取头值：

• HttpHeaders#GetHeaderString(String)
• HttpHeaders#GetRequestHeaders()
• HttpHeaders#GetHeaderString(String)

// Get the value of the Authorization header
String authorizationHeader = httpHeaders.getHeaderString(HttpHeaders.AUTHORIZATION);

因为您正在执行身份验证和/或授权，所以我建议您使用过滤器，这样您就可以保持RESTendpoint的精干，并专注于业务逻辑。

为了将过滤器绑定到您的RESTendpoint，JAX-RS提供了元注释@namebinding，可以使用如下：

@NameBinding
@Retention(RUNTIME)
@Target({TYPE, METHOD})
public @interface Secured { }

@securited批注将用于修饰筛选器类，该类实现ContainerRequestFilter，允许您处理请求。

ContainerRequestContext帮助您从HTTP请求中提取信息（有关详细信息，请参阅ContainerRequestContextAPI):

@Secured
@Provider
@Priority(Priorities.AUTHENTICATION)
public class SecurityFilter implements ContainerRequestFilter {

    @Override
    public void filter(ContainerRequestContext requestContext) throws IOException {
        // Use the ContainerRequestContext to extract information from the HTTP request
        // Information such as the URI, headers and HTTP entity are available
    }
}

如果用户未经过身份验证/授权，ContainerRequestFilter#filter()方法是中止请求的好方法。为此，可以使用ContainerRequestContext#AbortWith()或引发异常。

@provider注释标记了扩展接口的实现，该扩展接口应该在提供程序扫描阶段被JAX-RS运行时发现。

若要将筛选器绑定到endpoint方法或类，请使用上面创建的@securited批注对它们进行批注。对于被注释的方法和/或类，将执行过滤器。

@Path("/")
public class MyEndpoint {

    @GET
    @Path("{id}")
    @Produces("application/json")
    public Response myUnsecuredMethod(@PathParam("id") Long id) {
        // This method is not annotated with @Secured
        // The security filter won't be executed before invoking this method
        ...
    }

    @DELETE
    @Secured
    @Path("{id}")
    @Produces("application/json")
    public Response mySecuredMethod(@PathParam("id") Long id) {
        // This method is annotated with @Secured
        // The security filter will be executed before invoking this method
        ...
    }
}

在上面的示例中，将只对mySecuredMethod(Long)执行安全筛选器，因为它用@Securite进行了注释。

您可以为RESTendpoint设置所需的筛选器。要确保过滤器的执行顺序，请使用@priority对其进行注释。

强烈建议使用priorities类中定义的值之一（将使用以下顺序）：

• 身份验证
• 授权
• entity_coder
• header_decorator
• 用户

如果筛选器没有使用@priority进行注释，则将使用user优先级执行筛选器。

你可能会发现这个答案很有用。