移动客户端的spring security 3.0 RESTful认证

Question

我们有一个现有的 jsf/spring 应用程序，它使用 spring security 进行身份验证和授权。

现在我们要添加一个 RESTful Web 服务层，供移动客户端（本机 android 应用程序）使用。现有的身份验证过程使用 j_spring_security_check 和自定义过滤器。

我可以在同一上下文中处理 restful api 身份验证和授权吗？如果是，怎么做？

Answer 1

一种可能性是为 API 领域创建另一个安全配置。将其配置为 HTTP BASIC 身份验证（如果适合您并且 API 通过 https 提供）。

例如：

<http use-expressions="true" pattern="/api/**" realm="API Realm" create-session="stateless">    
     ...
     <http-basic />
     ...
     <logout logout-url="/api/logout" />
</http>

编辑： 根据评论者的评论，我正在纠正我的答案：不幸的是，这种方法在 Spring Security 3.0 中不起作用，因为 Spring Security 配置中的多个 http 元素是在 3.1 中添加的。