在 Jersey Web 服务中设置角色

Question

我正在使用 Jersey + Jetty + Dropwizard + Hibernate 创建一个 Web 服务。

假设我有一个这样的网络资源：

@Path("/")
@PermitAll
public class Resource {
    @RolesAllowed("user")
    @GET
    public String get() { return "GET"; }


@RolesAllowed("admin")
@POST
public String post(String content) { return content; }

@Path("sub")
public SubResource getSubResource() {
    return new SubResource();
}
}

我知道您可以使用HttpServletRequest.isUserInRole 检查用户的角色。

问题是，我如何分配角色开始？ Jersey 如何知道 isUserInRole 方法返回什么，或者知道如何根据角色过滤人们不访问特定资源？

我没有web.xml 或webdefault.xml，所以应该在其他地方进行定义。

Answer 1

您必须提供一个支持 @RolesAllowed("admin") 注释的提供程序类，然后您必须在您的应用程序中注册提供程序类。通常它在 web.xml 中完成，但由于您没有使用它，您必须自己提供。相关示例可以找到here

Answer 2

Jersey 使用自己的机制来检查角色（参见SecurityContext 接口），但是如果没有明确设置，它会回退到容器身份验证，这通常使用 JaaS 实现。如果你有web.xml，你就可以在那里配置它的基础知识。

然后又经常以不同的方式进行身份验证。如果您可以手动登录用户，例如有一个可以检查名称/密码的服务，那么您可以实现一个 ContainerRequestFilter 来填充安全上下文，这将使 @RolesAllowed 注释正常工作。

例如：

根据 cmets 更新

Resouce方法登录用户：

@Path("some/login/path")
public void login() {
    String name = getUsernameFromRequest();
    String password = // like above
    User user = loginService.login(name, password);
    request.getSession().addAttribute("user", user);
}

在过滤器中为所有请求初始化安全上下文。

@Priority(Priorities.AUTHENTICATION)
public class JerseySecurityContextFilter implements ContainerRequestFilter {

    public void filter(final ContainerRequestContext context) throws IOException {
    User user = getUserFromSession();
    if (user != null) {
         // this sets security context for the rest of processing
         // it should make @RolesAllowed work
         context.setSecurityContext(new JerseySecurityContext(user);
    }
}

final class JerseySecurityContext implements SecurityContext {

    private final User user;

    public JerseySecurityContext(final User user) {
        this.user = user;
    }

    public boolean isUserInRole(final String roleName) {
        return user.hasRole(roleName);
    }

    public Principal getUserPrincipal() {
        return new Principal() {
            public String getName() {
                return user.getName();
            }
        };
    }

    public String getAuthenticationScheme() {
        return null;
    }
}

如果您更愿意使用 JaaS，那么您必须在应用程序配置中配置安全性。这些是嵌入式Jetty 的一些示例。