如何获取javax。servlet。在密钥斗篷身份验证之前调用筛选器

Question

我们已经开发了一个REST API使用restease。

基本上，这些REST API是从另一个应用程序内部调用的，endpoint由KeyClope保护。

但有一个endpoint会暴露给外部方（该endpoint也会使用keyCloak进行保护）。

但是，由于外部方无法提供KeyClope身份验证代码，我们已经完成了一个实现，其中客户端使用应用程序生成的身份验证密钥注册，客户端将使用该身份验证密钥调用endpoint。

然后在web过滤器（javax.servlet.过滤器）中，使用thaauth_key我们得到相关的密钥隐藏认证承载令牌。如果需要（例如：令牌过期），我们也调用KeyCloak服务器。一旦它被接收，我们将Autheration令牌添加到web过滤器中的http请求中，并继续到终端应用程序。

但问题是，在Web筛选器之前调用KeyClope身份验证。我想问的是“如何在密钥斗篷身份验证之前调用Web筛选器？”

编辑：

现在我正试图找到一种方法，就像这里提到的。将请求头设置为在密钥斗篷中进行身份验证之前请求。在那里，我可以在身份验证之前接到电话。但我无法在那里设置请求头。

网状物xml

<web-app xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance"
    xmlns="http://java.sun.com/xml/ns/javaee"
    xsi:schemaLocation="http://java.sun.com/xml/ns/javaee http://java.sun.com/xml/ns/javaee/web-app_3_0.xsd"
    version="3.0">
    <display-name>Restful Web Application</display-name>
    <context-param>
        <param-name>resteasy.scan</param-name>
        <param-value>true</param-value>
    </context-param>

    <!-- keycloak -->

    <context-param>
        <param-name>keycloak.config.resolver</param-name>
        <param-value>package.to.HeaderBasedKeycloakConfigResolver</param-value>
    </context-param>

    <security-constraint>
        <web-resource-collection>
            <web-resource-name>REST endpoints</web-resource-name>
            <url-pattern>/ep-name/resource-name</url-pattern>
        </web-resource-collection>
        <auth-constraint>
            <role-name>resource-name</role-name>
        </auth-constraint>
    </security-constraint>

    <!-- more security-constraint -->
    <!-- more security-constraint -->
    <!-- more security-constraint -->

    <login-config>
        <auth-method>KEYCLOAK</auth-method>
        <realm-name>realm-name</realm-name>
    </login-config>

    <security-role>
        <role-name>role-name-for-resource-1</role-name>
        <role-name>role-name-for-resource-2</role-name>
        <!-- more security-role -->
        <!-- more security-role -->
        <!-- more security-role -->
    </security-role>

    <listener>
        <listener-class>
            org.jboss.resteasy.plugins.server.servlet.ResteasyBootstrap</listener-class>
    </listener>

    <servlet>
        <servlet-name>resteasy-servlet</servlet-name>
        <servlet-class>
            org.jboss.resteasy.plugins.server.servlet.HttpServletDispatcher
        </servlet-class>
        <init-param>
            <param-name>resteasy.servlet.mapping.prefix</param-name>
            <param-value>/ep-name</param-value>
        </init-param>
    </servlet>

    <servlet-mapping>
        <servlet-name>resteasy-servlet</servlet-name>
        <url-pattern>/ep-name/*</url-pattern>
    </servlet-mapping>

    <filter>
      <filter-name>WebFilter</filter-name>
      <filter-class>package.to.filter.WebFilter</filter-class>
   </filter>

   <filter-mapping>
      <filter-name>WebFilter</filter-name>
      <url-pattern>/desired-ep-name/*</url-pattern>
   </filter-mapping>

</web-app>

Answer 1

我知道这已经2年了，但我找到了解决这个问题的方法：将您的适配器更改为servlet过滤器，我的是jboss/wildfly，然后添加到web。在过滤器下面添加xml以更改请求或响应。在jboss/wildfly中，身份验证发生在一个阀门中，因此身份验证发生在任何过滤器执行之前。一旦你这么做了，你就可以控制KeyClope什么时候开始工作，并把你的过滤器放在它前面。

网状物xml

<filter>
        <filter-name>Keycloak Filter</filter-name>
        <filter-class>org.keycloak.adapters.servlet.KeycloakOIDCFilter</filter-class>
</filter>
    <filter-mapping>
        <filter-name>Keycloak Filter</filter-name>
        <url-pattern>/restricted/*</url-pattern>
        <url-pattern>/restricted/</url-pattern>
</filter-mapping>

向pom中添加适当版本的keydeposervlet过滤器适配器，并从web中删除所有其他安全约束、身份验证方法等。xml。

Answer 2

这可能是因为Tomcat身份验证阀在过滤器之前启动。检查uthenticators.properties文件。您可能需要将筛选器类包装为Valve

Answer 3

您是否尝试过更改web.xml中元素的顺序（例如将过滤器定义放在servlet定义之前）？

不确定它是否有效，但文档说：“链中过滤器的顺序与web应用程序部署描述符中过滤器映射的顺序相同”

对于servlet和过滤器之间的顺序，该原理也可能是正确的...