使用身份验证令牌的 Java REST 服务答案

【问题标题】：Java REST service using authentication token使用身份验证令牌的 Java REST 服务
【发布时间】：2013-03-07 02:14:25
【问题描述】：

在我使用 Java EE 6 的 Web 应用程序上。我想将我的一些功能公开为 Json Rest 服务。我想使用身份验证令牌进行登录，用户将发送他们的用户名、密码，服务器将发送回一个令牌，该令牌将用于授权用户在给定时间内的进一步请求..

到目前为止有几个问题困扰着我；

【问题讨论】：

我建议你看看 JAAS。它是一个 J2EE 标准，对于声明式身份验证/授权非常有用。
@Apache Fan tnx，我想 JAAS 会在我从客户端收到令牌并且我想验证他之后发挥作用？
没有。您不必玩任何代币。在 JAAS 中，您可以只定义 URL 模式 .grant Principal com.tagish.auth.TypedPrincipal "user" { permission com.xor.auth.perm.URLPermission \ "/myapp/someService"; };
@Apache Fan 我更新了问题
那么 JAAS 流程类似于 -1。 JAAS 可以配置一些用于用户标识角色映射的后端表。一旦请求到来，JAAS 将检查它是否已通过身份验证。如果不是，则用户被重定向到登录页面。 2. 如果用户通过身份验证，则根据 ACL 规则检查用户是否有权访问您的 URL

【解决方案1】：

这是我的意见：

【讨论】：

【解决方案2】：

我最近blogged 介绍了如何在 JAX-RS REST API 中设置基于角色的授权，同时使用简单的会话令牌方法和使用会话令牌作为共享密钥对请求进行签名的更安全方法。

归结为：

【讨论】：

【解决方案3】：

将令牌保存在 bean 或哈希表中不会持久。数据库将在执行之间持续存在。

如果您打算使用 REST，那么您可以在参数中将身份验证传递给方法，也可以在请求标头本身中传递。加密是另一回事。我想这取决于系统的规模，以及它的开放程度。如果安全是重中之重，那么是的，您应该找到某种形式的加密。

我使用Spring Framework 和Spring Security 做过类似的事情。这些东西使用这个比较简单。编写自定义代码就是重新发明轮子。有很多框架可以帮助你。但是，您将获得框架的学习曲线。

【讨论】：