如何在REST上使用Shiro和Oath2对用户进行身份验证

Question

我即将开始开发一个REST服务，安全性是这个项目的一个重要方面，但我找不到一些关于如何实现它的明确信息。我的服务一开始会被Android应用程序使用，但以后可能会被其他平台使用。控制用户访问非常关键，因此对REST服务的授权和身份验证控制非常重要。

尽管我可以找到关于如何制作安全REST API的主题，比如这里，这里和这里的这个大的，但令我惊讶的是，所有这些主题都没有指向著名的标准、框架或经过时间测试的解决方案，而这通常是保护软件应用程序html" target="_blank">安全的“方法”，在那里我们尽可能避免“滚动您自己的安全解决方案”。

到目前为止，我认为OAUTH 2.0（甚至OAUTH 1.0）是最好的方法，它是一个广泛使用的公共协议，支持授权和身份验证，我们可以控制密钥的生存期，甚至有一个特殊的刷新密钥，允许客户机不存储密码信息，以便在需要时获取新的密钥。

我还认为ApacheShiro是java中安全性、授权和身份验证的最佳框架，所以当我找不到Shiro和OAuth2.0之间的任何集成时，我感到非常意外……好吧，有一个已经有5年历史了，对我来说没有什么信任。

更奇怪的是，Apache Shiro PMC主席Les Hazlewood拥有（好吧，拥有，他刚刚卖给了Okta）Stormpath公司，这是一个为身份和用户管理而生的公司，所以我希望他提供了一些OAuth2.0和Shiro之间的简单集成，除非我猜这会过多地扰乱Stormpath业务计划（我不相信这一点，因为Apache基金会不允许这种行为）。

所以最后的问题是：

Answer 1

我知道布吉项目使用Shiro并且支持Oauth2。我没有用过，但你可以查一下。