使用用户名/passwd和令牌通过spring进行RESTful身份验证

Question

我正在开发一个移动应用程序，服务器端是使用Spring3 html" target="_blank">MVC的REST。

我试图将Spring Security与它集成以保护资源。我通读了很多资料以获得如何做这件事的信息。我理解体系结构，但是，当涉及到实现时，我仍然感到困惑。

我提出了一个这样的问题；我也有同样的要求。我理解代码，但是，我对第一个身份验证请求何时到来感到困惑；那时，标记将不作为头的一部分出现，因此相同的过滤器将不起作用。

所以我在想我应该如何实现它。我正考虑按以下方式实施：

1. 一个单独的筛选器，用于从请求中使用用户名密码对用户进行身份验证
2. 身份验证后，筛选器将在上下文中设置身份验证信息
3. 和另一个使用令牌对所有API URL进行身份验证的筛选器

这是正确的执行方式吗？

Answer 1

不需要添加另一个筛选器。无论身份验证结果如何，系统都将尝试调用处理程序进行相应的映射，因为您在if(validate_token)外部有chain.doFilter()。

您必须告诉Spring security您的请求/login不能通过身份验证。您可以在XML/Java配置中配置它。