阿帕奇四郎与泽西

Question

我正在使用jersey构建一个web服务应用程序。使用apache shiro进行授权/身份验证im。

我找到了一些演示如何在web应用程序中使用apache shiro的教程。它们使用显示登录方法。具有用户名和密码字段的jsp页面，并且超过此字段。jsp页面是在shiro中配置的。我喜欢这样：

[main]

shiro.loginUrl = /login.jsp

[urls]
/login.jsp = authc
/logout = logout

我想知道如何在没有任何密码的情况下进行身份验证。jsp页面，因为我的项目只有web服务。因此，我想我需要一个登录服务，然后我创建了一个：

@POST
@Path("/login")
public Response login(@FormParam("username") final String username, @FormParam("password") final String password, @FormParam("remember") final boolean remember) {

    final Subject currentUser = SecurityUtils.getSubject();

    if (!currentUser.isAuthenticated()) {
        final UsernamePasswordToken token = new UsernamePasswordToken(username, password);
        try {
            token.setRememberMe(remember);
            currentUser.login(token);
        } catch (final AuthenticationException e) {
            return Response.status(Status.BAD_REQUEST).entity("Usuário ou senha inválido").build();
        }
    }

这是我的shiro.iniconf：

[urls]
/security/login = anon
/security/isAuthenticated = anon
/** = authcBasic

一旦用户无法通过身份验证登录，i include/security/login=anon。

这是在webservice环境中使用apache shiro对用户进行身份验证的正确方法吗？

Answer 1

您不需要登录服务。实际上，验证和使用服务应该是两件不同的事情。您需要做的是：

• 知道您要验证哪些页面
• 配置Shiro通过您的身份验证方法对这些页面进行身份验证。

你的西罗。ini将看到以下内容：

[main]
myRealm = com.my.package.MyRealm
myAuthc = com.my.package.MyAuthenticationFilter

[urls]
/public/** = anon
/** = myAuthc

您将需要实现领域和过滤器。您可以使用AuthentiatingFilter甚至子类之一来实现过滤器，例如BasicHttpAuthentiationFilter。该领域可以使用AuthenticatingRealm类来实现。

更多关于realms的信息，更多关于Shiro的信息。请注意，要使过滤器可用，您需要做的基本上是在web上设置过滤器。xml

在对领域和过滤器进行编码之后，您的代码应该可以按预期工作。如shiro上所定义。ini以public开头的任何路径都不会经过身份验证，所有其他路径都将通过您的com进行身份验证。我的包裹MyAuthenticationFilter。请注意，顺序很重要：如果您首先定义/**=myAuthc行，它将验证所有内容，包括以/public开头的路径。