删除向导管理员 servlet 的安全性（版本 1.1.1）

Question

我正在使用< code>Dropwizard (1.1.1)。

我的安全上下文定义如下：

    environment.jersey().register(new AuthDynamicFeature(new BasicCredentialAuthFilter.Builder<User>()
            .setAuthenticator(new BasicAuthenticator())
            .setAuthorizer(new BasicAuthorizer())
            .setRealm("SECURITY REALM")
            .buildAuthFilter()));

    environment.jersey().register(new AuthValueFactoryProvider.Binder<>(User.class));
    environment.jersey().register(RolesAllowedDynamicFeature.class);

最近，我将我的管理页面移到了我的web应用程序中。代码在这里：

    environment.getApplicationContext().setAttribute(
            MetricsServlet.METRICS_REGISTRY,
            environment.metrics());
    environment.getApplicationContext().setAttribute(
            HealthCheckServlet.HEALTH_CHECK_REGISTRY,
            environment.healthChecks());
    environment.getApplicationContext().addServlet(
            new NonblockingServletHolder(new AdminServlet()), "/admin/*");

如何将安全上下文添加到< code>Dropwizard管理servlet中？

我已经查看了这个StackOverflow答案，但似乎没有任何工作。看起来答案里的一切都被否决了。

Answer 1

嗯，管理servlet是一个普通的旧servlet，而不是Jersey资源。假设您正在创建一个新的管理servlet（是否正在禁用默认的管理上下文？）在应用程序上下文中，您可以简单地将servlet过滤器注册到应用程序上下文，如下所示：

environment.getApplicationContext().addFilter(new FilterHolder(new AdminServletFilter()), "/admin/*", EnumSet.of(DispatcherType.REQUEST));

您的AdminServletFilter可以以任何您喜欢的方式对用户进行身份验证，例如，如果您想进行基本身份验证，请使用此实现。

也就是说，如果您打算将管理servlet移动到与应用程序连接器相同的端口上运行，那么更好的方法是通过config:

server:
  type: simple
  adminContextPath: /admin
  applicationContextPath: /
  connector:
    type: http
    port: 8080

另外，我已经更新了您链接到的问题，其中包含适用于最新Dropwizard版本的安全处理程序实现。有了这个，您可以通过注册安全处理程序来保护管理 servlet：

environment.admin().setSecurityHandler(new AdminConstraintSecurityHandler("admin", "supersecret"));