如何在java中对受限资源进行身份验证和授权用户

Question

我有我的web.xml文件，其中包含对REST API的限制，使用url /rs/private/*/，如下所示：

<security-constraint>
        <web-resource-collection>
            <web-resource-name>PRIVATE REST API</web-resource-name>
            <url-pattern>/rs/private/*</url-pattern>
            <http-method>GET</http-method>
            <http-method>POST</http-method>
            <http-method>HEAD</http-method>
            <http-method>PUT</http-method>
            <http-method>OPTIONS</http-method>
            <http-method>TRACE</http-method>
            <http-method>DELETE</http-method>
        </web-resource-collection>
        <auth-constraint>
            <description>Have to be a USER</description>
            <role-name>USERS</role-name>
        </auth-constraint>
    </security-constraint>
    <login-config>
        <auth-method>BASIC</auth-method>
        <realm-name>userauth</realm-name>
    </login-config>
    <security-role>
        <description/>
        <role-name>USERS</role-name>
    </security-role>

从angular开始，我在授权http报头中发送承载令牌：

$httpProvider.interceptors.push(['$q', '$location', 'store', function ($q, $location, store) {
            return {
                'request': function (config) {
                    config.headers = config.headers || {};
                    if (store.get('jwt')) {
                        config.headers.Authorization = 'Bearer ' + store.get('jwt');
                    }
                    return config;
                },
                'responseError': function (response) {
                    if (response.status === 401 || response.status === 403) {
                        $location.path('/Login');
                    }
                    return $q.reject(response);
                }
            };
        }]);

火狐中的请求标头：

Accept  
application/json, text/plain, */*
Accept-Encoding 
gzip, deflate
Accept-Language 
en-US,en;q=0.5
Authorization   
Bearer eyJhbGciOiJSUzI1NiJ9.eyJpc3MiOiJodHRwczpcL1wvcnRoLmNvbSIsInN1YiI6IlJUSCIsImV4cCI6MTQ1Mjk3Nzc4NiwiZW1haWwiOiJraXJpdGkuazk5OUBnbWFpbC5jb20ifQ
.SwyVMdweHgH3eQ-IYDUsjavAbUYPWQTSvdrIKMVQEzDTIsgvpWsoR13SJsV6kHrC_2uelBG0aSgExj794xe5yrK7VQ8J4yPRrXT
1EPf4LyABuHltHJNVtR_PRpPxcLZnP4GAQm-ozBVyHarsCpI9FINwhepY4_Lt51lU_EtDjI4
Host    
localhost:7070
Referer 
http://localhost:7070/RTH_Sample13/
User-Agent  
Mozilla/5.0 (Windows NT 6.3; WOW64; rv:43.0) Gecko/20100101 Firefox/43.0

问题是，当我用java打印请求头时，我找不到angular发送的授权头：

@Path("/public/loginResource")
public class LoginService {

    @Context
    private UriInfo context;

    public LoginService() {
    }

    @POST
    @Path("/login")
    @Produces(MediaType.APPLICATION_JSON)
    @Consumes(MediaType.APPLICATION_JSON)
    public Response authenticateUser(@Context HttpServletRequest request, Credentials credentials) {

        Enumeration headerNames = request.getHeaderNames();
        while (headerNames.hasMoreElements()) {
            String headerName = (String) headerNames.nextElement();
            System.out.println(headerName);

            //PRINTS: host user-agent accept accept-language accept-encoding content-type referer content-length connection

        }
        String email = credentials.getEmail();
        String password = credentials.getPassword();
        String token = "";

        try {
            LoginDAO loginDao = new LoginDAO();
            if (loginDao.authenticate(email, password)) {
                TokenProvider jwtProvider = new TokenProvider();
                token = jwtProvider.getToken(email);
                Map<String, String> response = new HashMap<String, String>();
                response.put("token", token);
                return Response.ok(response).build();
            } else {
                return Response.status(Response.Status.UNAUTHORIZED).type("text/plain").entity("Invalid Username or Password!").build();
            }

        } catch (Exception e) {
            e.printStackTrace();
            return Response.status(Response.Status.NOT_FOUND).type("text/plain").entity("Error in Login Service web service class").build();
        }
    }
}

我想实现的是，我想拦截每一个请求，并使用某种过滤器使用授权头和令牌来识别用户。

这里有两个问题：

< li >请求标头不包含< code >授权标头 < li >如何在java中拦截每个请求

Answer 1

评论太长了。

至于你的第一个问题，我没有使用< code>angularjs，而是使用纯< code>js，查看我的代码，我将编写< code > ' Basic ' store . get(' jwt ')而不是< code > ' Bearer ' store . get(' jwt ')。

至于你的第二个问题，事实上，和其他评论一样，关于jersey身份验证过滤器有很多问题。这是非常直接的，你可以在这里看看。

但是，如果您想要手动执行，则必须在每个服务中执行。(我真的不明白为什么添加过滤器会是一个问题，但无论如何)。

它可能是这样的（实际上，与您在过滤器中所做的相同）：

@GET
@Produces(MediaType.APPLICATION_JSON)
public <your_output_class> yourService(@Context final ContainerRequestContext requestContext) {

    String authentication = requestContext.getHeaderString(HttpHeaders.AUTHORIZATION);
    if (! authentication.startsWith("Basic ")) {
        throw new <your_exception>("Not authenticated");
    }
    authentication = authentication.substring("Basic ".length());
    String[] values = Base64.decodeAsString(authentication).split(":");
    if (values.length < 2) {
        throw new <your_exception>("Invalid syntax for username and password");
    }
    ...

然后，您将对照ddbb或任何存储用户和密码的东西进行检查。

当然，您需要将其放在实用方法或类似方法中。

最后，如果您使用CORS，您必须小心，根据您的客户，您可能有一个标题为空的< code>preflight请求。不知道< code>angularjs是否会这样做。只是让我知道。

希望它有帮助！