使用 spring ws 后端 Web 应用程序进行会话管理

Question

我正在尝试创建一个 web 应用程序，它将使用 js 前端并在后端调用 Spring WS。假设这是一个购物网站类型的网站。所以，我可以拥有OrderServiceInventoryServiceShippingService 等服务。唯一需要会话的是用户的购物车。现在，对于这个购物车，使用 servlet 容器进行会话管理有意义吗？或者，我应该使用CartService 将会话信息保存到数据库吗？

在使用 WebServices 进行会话管理时，最佳实践是什么？我想，最好的做法确实是保持服务无状态，但是如果我有无状态的 web 服务，我该如何授权用户呢？

使用 servlet 容器只是为了进行会话管理，然后让不同的控制器充当 Web 服务的代理，这完全不是一种好习惯吗？

我附上一张图片，让您更好地理解上下文。

Answer 1

如果我有无状态 Web 服务，如何授权用户？

1. 如果您的应用使用外部 ws，则描述了相当常见的方法 here。

2. 如果所有的ws都是你交付的一部分，你肯定可以使用spring-security。

3. 一种非常常见的方法是使用 (apache) http 服务器作为代理，使用 ldap 之类的东西进行身份验证和授权。

使用 servlet 容器来进行会话管理，然后让不同的控制器充当 Web 服务的代理，这完全是一种好习惯吗？

我认为不是。正如here 所讨论的那样，您只能从保持 Web 服务无状态中受益，如果您需要在请求之间维护状态，请使用 cookie。

如果状态（购物车）应该在注销后仍然存在，那么像 CartService 这样的东西对我来说听起来是个好主意。

Answer 2

如果 webservice 是无状态的，我怎么知道一个 ajax 请求被授权了？我怎么知道 ajax 请求来自 webapp1 的 user1，谁被授权？而不是来自 webapp2 的 user2，谁无权访问该服务？

好问题。快速回答是：

1. 对于 基本身份验证：用户名：密码是 base64 编码并存储在客户端发送的每个请求的 Authorization http 标头中。见this wiki entry。标题如下所示：

   Authorization: Basic QWxhZGRpbjpvcGVuIHNlc2FtZQ==

   使用spring security，可以这样配置：

    <http pattern="/api/**" create-session="stateless">
        <intercept-url pattern='/**' access="hasRole('REMOTE')" />
        <http-basic />
    </http>

1. 对于基于 form 的 WS 身份验证，请查看 this article。

   • 首先您向 /j_spring_security_check 发送了一个发布请求。该请求将返回 Cookie，随后任何针对 Web 服务的请求都将使用该 Cookie。他们在这里将其存储在一个文本文件中：

     curl -i -X POST -d j_username=user -d j_password=userPass -c /tmp/cookies.txt @987654324@

   • 然后您可以使用文件中的 cookie 进行进一步的身份验证请求：

     curl -i --header "Accept:application/json" -X GET -b /tmp/cookies.txt @987654325@

   xml spring 安全配置可以是这样的：

    <http pattern="/api/**" create-session="stateless">
        <intercept-url pattern='/**' access="hasRole('REMOTE')" />
        <form-login />
    </http>

Answer 3

您可以参考Spring-WS security

查看here，获取在 Spring Boot 应用程序中使用 WS-Security 的示例。具体见 WebServiceServerConfig。