确保泽西岛的Rest服务

Question

我对web服务非常陌生。我已经公开了一些使用与Spring集成的Jersey 2的REST服务。现在我需要使用用户名/密码身份验证来保护那些rest服务。我被告知不要使用Spring Security。

我不知道该怎么做。我确实在网上搜索了一下，但是各种链接显示了不同的实现方式，我无法决定如何进行。

Answer 1

使用用户名和密码进行身份验证的常用方法是使用基本身份验证。基本上，客户端需要发送一个请求头authorization，头值为basic Base64Encoded(username:password)。因此，如果我的用户名是peeskillet，而我的密码是pass，那么作为客户端，我应该将头设置为

Authorization: Basic cGVlc2tpbGxldDpwYXNz

在servlet环境中，容器应该支持基本身份验证。您可以在web.xml上配置这种支持。您可以在Java EE教程的48.2保护Web应用程序中看到一个示例。在一个示例中，您还会注意到

<transport-guarantee>CONFIDENTIAL</transport-guarantee>

这是为了支持SSL。对于基本身份验证，建议使用此方法。

过滤器的基本流程如下所示

>

获取授权标头。如果不存在，则抛出authenticationexception。在这种情况下，authenticationExceptionMapper将发送头“www-authenticate”，“Basic realm=\”“+e.getRealm()+”\“，这是基本身份验证协议的一部分

一旦我们有了头，我们解析它只是为了得到Base64编码的用户名：password。然后我们解码，然后拆分，然后分离用户名和密码。如果此过程中的任何一个失败，则再次抛出WebApplicationException，它映射到一个400 Bad请求。

检查用户名和密码。示例源代码只是检查用户名是否为user，密码是否为password，但您需要使用筛选器中的某些服务来验证此信息。如果其中一个失败，则抛出authenticationexception

如果一切顺利，将从authenticate方法创建user，并将其注入authorizer（即SecurityContext)。在JAX-RS中，securitycontext通常用于授权`。

对于授权，如果您希望为某些资源保护某些区域，您可以为类或方法使用@rolesAllowed注释。通过注册RolesAllowedDynamicFeature，Jersey支持此注释。

实际上，将从请求中获取securitycontext。在我链接到的示例中，您可以看到authorizer，它有一个重写的方法IsUserInRole。将调用此方法以对照@rolesallow（{“admin”}）中的值进行检查。因此，创建securitycontext时，应确保在重写的方法中包含用户的角色。

对于测试，您可以简单地使用浏览器。如果一切都设置正确，当您尝试访问该资源时，您应该会看到（在Firefox中）一个如本文所示的对话框。如果你使用卷曲，你可以

C:/>curl -v -u username:password http://localhost:8080/blah/resource

这将发送一个经过身份验证的基本请求。由于使用了-v开关，您应该可以看到涉及到的所有头。如果您只是想使用客户端API进行测试，您可以在这里看到如何设置它。在提到的三种情况中的任何一种情况下，Base64编码都将为您完成，因此您不必为此担心。

至于SSL，您应该查看容器的文档，了解如何设置它。