使用不起作用的角色批注进行保护（泽西岛）

Question

我是新来的，尽管我以前已经在这里找到了很多问题的答案。

现在我正在寻求帮助：我的小REST API上有这个小示例资源：

@Path("/greeting")
@PermitAll
public class HelloResource {

    @GET
    @Produces(MediaType.TEXT_PLAIN)
    @Path("all")
    public String sayHelloToAll() {
        return "Hello, everybody!";
    }

    @GET
    @Produces(MediaType.TEXT_PLAIN)
    @RolesAllowed("admin")
    @Path("admin")
    public String sayHelloToAdmin() {
        return "Hello, admin!";
    }
}

为了过滤角色，我有以下SecurityContext的实现：

public class Authorizer implements SecurityContext {

    @Override
    public String getAuthenticationScheme() {
        return null;
    }

    @Override
    public Principal getUserPrincipal() {
        return null;
    }

    @Override
    public boolean isSecure() {
        return false;
    }

    @Override
    public boolean isUserInRole(String role) {
        return true;
    }
}

以及容器请求过滤器的这种实现：

@Provider
@Priority(Priorities.AUTHENTICATION)
public class AuthorizationFilter implements ContainerRequestFilter {

    @Override
    public void filter(ContainerRequestContext requestContext) throws IOException {
        requestContext.setSecurityContext(new Authorizer());
    }
}

这是我的应用程序类：

@ApplicationPath("/")
public class Application extends ResourceConfig {

    public Application() {
        super(HelloResource.class);
        register(AuthorizationFilter.class);
        register(RolesAllowedDynamicFeature.class);        
    }
}

有了所有这些，当我请求URI问候/all时，一切都很好，显示字符串“Hello，大家好！”。但是当我请求URI问候/admin时，即使我的isUserInRole方法总是返回true，也永远不会调用它。事实上，我的过滤器方法总是被调用，但我的isUserInRole方法永远不会被调用。

我遵循了许多建议:

SecurityContext不能与@RolesAllowed一起使用

角色授权允许动态特征和泽西岛

如何访问新泽西资源由@Rele准许保护

使用JAX-RS和泽西进行基于REST令牌的身份验证的最佳实践

但它似乎对任何东西都不起作用。

有人能帮我吗？我不知道，是不是我错过了什么

提前感谢大家。

编辑：当我请求URI问候/管理员时，顺便问一下，我得到403禁止（我忘了说）

Answer 1

查看＜code＞RoleAllowedRequestFilter＜code＞的源代码。当用户通过身份验证时，预期会有一个关联的主体。过滤器在这里检查它

if (rolesAllowed.length > 0 && !isAuthenticated(requestContext)) {
    throw new ForbiddenException(LocalizationMessages.USER_NOT_AUTHORIZED());
}
...
private static boolean isAuthenticated(final ContainerRequestContext requestContext) {
    return requestContext.getSecurityContext().getUserPrincipal() != null;
}

因此，您需要在< code>SecurityContext的< code>getUserPrincipal中返回一个< code>Principal

@Override
public Principal getUserPrincipal() {
    return new Principal() {
        @Override
        public String getName() {
            return "Some Name";
        }
    };
}