拖放查看示例身份验证

Question

我熟悉在Dropwizard中实现BasicAuth安全性，但仅限于RESTfulendpoint/资源。

我现在正在试验Dropwizard视图，看看我是否能把它作为web和REST服务器合二为一。web应用程序将有“公共”页面(实际上只是静态的HTML文件；“关于我们”、“联系我们”等。)以及“私人”(动态)页面，真正构成了app。要访问这些页面，用户必须经过身份验证(登录)。

因此，这意味着我需要两种不同的DW身份验证机制：

• 一种典型的用于对RESTAPI客户端进行身份验证的DW安全机制，我很熟悉；和
• 一种实现登录系统的方法，用于验证web应用程序页面/资源的最终用户

理想情况下，我希望 Apache Shiro 处理我的系统（REST 和 Web 等）的所有身份验证，并且我看到了 Dropwizard-Shiro 库，但这似乎只验证 REST endpoint。

我的网络登录系统需要这样工作:

< li >用户试图访问“已验证”(私有)的URL。 < li >一个servlet过滤器(我自己创建并在< code >环境中注册的)截获请求并能告诉(也许是一个cookie/会话变量？)无论用户是否经过身份验证。 < li >如果用户通过验证，则允许他们转到他们想要的URL(“目标URL”)。否则，他们将被重定向到登录页面。当他们登录时，DW资源/控制器将他们的凭证交给Shiro，然后由Shiro决定凭证是否有效。 < li >如果凭据有效，它们将获得一个cookie/会话变量(？)并被重定向到它们的目标URL。否则，他们将被重定向回登录页面，该页面现在将显示一条失败消息。

我主要关心的问题是：*我应该为servlet将检查的cookie/会话变量实现什么？；和*如何将我的身份验证控制器（即处理登录页面和目标URL之间重定向的资源）与Shiro集成？是否可以通过Dropwizard-Shiro库执行此操作？

自定义Servlet过滤器（在环境中注册）：

public class AuthFilter implements ContainerResponseFilter {
    @Override
    public void filter(ContainerRequestContext requestContext, 
            ContainerResponseContext responseContext) {
        Cookie[] cookies = requestContext.getCookies();
        boolean authenticated = false;
        for(Cookie cookie : cookies) {
            // 1. This is my first concern. What is better/more secure
            //    than what I'm doing here?
            if("my_app_auth_cookie".equals(cookie.getName())) {
                authenticated = true;
            }
        }

        if(authenticated == false) {
            responseContext.sendDirect("/auth/login");
        }
    }
}

如果它们未通过身份验证，它们将重定向到< code>/auth/login，这将命中一个< code>AuthController(再次向< code >环境注册为资源):

@Path("/auth")
@Produces(MediaType.TEXT_HTML)
public class AuthController {
    @GET
    @Path("/login")
    public LoginPageView login() {
        // Render some "login.ftl" template as HTML.
    }

    @POST
    @Path("/authenticate")
    public ??? authenticate(??? username, ??? password) {
        // 2. Somehow send 'username' and 'password' to Shiro...
        MyAppUser user = myAppRealm.authenticate(username, password);

        // Now what do I do with 'user'?
    }
}

当用户在登录页面上提交表单时（这可能是对＜code＞/auth/authenticate＜/code＞）我们会以某种方式将他们输入的凭证交给Shiro（同样，我希望使用Dropwizard Shiro库，因为我可能也会将其用于我的RESTendpoint）。

Answer 1

Apache Shiro有自己的过滤器类型，在shiro.ini中配置。

例子：

[urls]
/api/** = noSessionCreation, authcBasic
/views/login = authc
/views/authenticated = authc, user

配置< code>authc筛选器以重定向到您实现的登录表单页面。使用过滤器的表单参数并发布到< code>/views/login。

如果在 Jetty 中启用了会话管理器，则 Shiro 应该在从登录表单页面登录时创建 servlet 会话。

请注意，我没有实际测试过这个配置。