如何在 jax-rs rest 服务中实现自定义的基于用户的授权？

Question

tutorial 解释了如何使用 jax-rs 进行角色授权。

我正在寻找用户级别的授权。例如，对于某些方法，例如删除或编辑或访问个人用户信息，只有作为该信息所有者的用户才能访问这些资源。实现这一点的最佳方法是什么？

Answer 1

在您的 JAX-RS 服务前使用 XACML 和 JAX-RS 策略实施点。

XACML 是可扩展访问控制标记语言。 XACML 帮助您实现的是：

• 基于属性的访问控制，其中属性只是一个键值对。属性可以是用户 ID、资源所有者、一天中的时间、操作...
• 外部授权：将 JAX-RS 服务内部的业务逻辑与现在在称为策略决策点 (PDP) 的中心点中表达的授权逻辑分离
• 基于策略：授权逻辑在 PDP 内部表示为使用先前定义的属性的策略。例如：
  • 如果 document.owner==user.id，则具有角色==editor 的用户可以对文档执行操作==edit

您可以在此处阅读有关 XACML 和 ABAC 的更多信息：

• ABAC：NIST project page。
• XACML introduction & architecture。

您需要在要保护的 JAX-RS 服务前面部署一个拦截器（策略执行点）。