input发送a.jax
在使用已可用的HTTP协议实施Web服务时&＃xff0c;REST带来了很多便利。 通过仅通过指定的URL触发GET&＃xff0c;POST和其他HTTP方法&＃xff0c;您将确保通过REST服务的响应来完成某些工作。 但是&＃xff0c;无论REST给开发人员带来了什么便利&＃xff0c;安全性和访问控制的主题都应始终得到解决。 本文将向您展示如何使用HTTP标头和JAX-RS 2.0拦截器来实现基于用户的简单身份验证。
认证者
让我们从一个Authenticator类开始。 该带有以下代码的DemoAuthenticator提供了必要的方法&＃xff0c;用于对请求访问REST Web服务的所有用户进行身份验证。 请通读代码&＃xff0c;并在此处提供注释以指导理解。
DemoAuthenticator的代码&＃xff1a;
package com.developerscrappad.business;import java.util.HashMap;
import java.util.Map;
import java.util.UUID;
import java.security.GeneralSecurityException;
import javax.security.auth.login.LoginException;public final class DemoAuthenticator {private static DemoAuthenticator authenticator &＃61; null;// A user storage which stores
}
通用代码说明&＃xff1a;
通常&＃xff0c;只有几个重要的项目组成了身份验证器&＃xff0c;即&＃xff1a; 服务密钥 &＃xff0c; 授权令牌 &＃xff0c; 用户名和密码 。 用户名和密码通常成对使用。
服务密钥
服务密钥对于某些读者而言可能是新的。 在某些公共REST API服务中&＃xff0c;系统会生成一个服务密钥&＃xff08;有时也称为API密钥&＃xff09;&＃xff0c;然后将其发送到允许访问REST服务的用户/客户端&＃xff08;通过电子邮件或其他方式&＃xff09;。 因此&＃xff0c;除了仅使用用户名和密码登录REST服务外&＃xff0c;系统还将检查服务密钥&＃xff0c;是否允许用户/客户端访问REST API。 用户名&＃xff0c;密码和服务密钥均已在上面的代码中预定义&＃xff0c;仅用于演示目的。
授权令牌
进行身份验证后&＃xff08;通过login&＃xff08;&＃xff09;方法&＃xff09;&＃xff0c;系统将为已身份验证的用户生成授权令牌。 该令牌通过HTTP响应传递回用户/客户端&＃xff0c;以后将用于任何REST API调用。 用户/客户端将必须找到一种方法来在整个登录会话中进行存储和使用。 我们稍后再讨论。
必需的HTTP标头名称定义
向前发展&＃xff0c;而不是将服务密钥和授权令牌作为HTTP参数&＃xff08;Form或Query&＃xff09;传递给服务器端应用程序&＃xff0c;我们将其作为HTTP Header传递。 这是为了让请求在被目标REST方法处理之前先被过滤。 HTTP标头的名称如下&＃xff1a;
| HTTP标头名称 | 描述 |
|---|---|
| service_key | 使HTTP客户端能够访问REST Web服务的服务密钥。 这是认证和授权HTTP请求的第一层。 |
| auth_token | 在用户名/密码认证时生成的令牌&＃xff0c;该令牌将用于任何REST Web Service调用&＃xff08;稍后显示的认证方法除外&＃xff09;。 |
REST API实施
为了方便和进一步减少代码错误&＃xff0c;我们将HTTP标头名称作为静态最终变量放入接口中&＃xff0c;以供其余类使用。
DemoHTTPHeaderNames.java的代码&＃xff1a;
package com.developerscrappad.intf;public interface DemoHTTPHeaderNames {public static final String SERVICE_KEY &＃61; "service_key";public static final String AUTH_TOKEN &＃61; "auth_token";
}
为了实现身份验证过程和其他演示方法&＃xff0c;在DemoBusinessRESTResourceProxy中定义了方法的签名&＃xff0c;在适当的HTTP方法&＃xff0c;参数中定义了业务签名&＃xff0c;并在DemoBusinessRESTResource中定义了业务实现。
DemoBusinessRESTResourceProxy.java的代码&＃xff1a;
package com.developerscrappad.intf;import java.io.Serializable;
import javax.ejb.Local;
import javax.ws.rs.FormParam;
import javax.ws.rs.GET;
import javax.ws.rs.POST;
import javax.ws.rs.Path;
import javax.ws.rs.Produces;
import javax.ws.rs.core.Context;
import javax.ws.rs.core.HttpHeaders;
import javax.ws.rs.core.MediaType;
import javax.ws.rs.core.Response;&＃64;Local
&＃64;Path( "demo-business-resource" )
public interface DemoBusinessRESTResourceProxy extends Serializable {&＃64;POST&＃64;Path( "login" )&＃64;Produces( MediaType.APPLICATION_JSON )public Response login(&＃64;Context HttpHeaders httpHeaders,&＃64;FormParam( "username" ) String username,&＃64;FormParam( "password" ) String password );&＃64;GET&＃64;Path( "demo-get-method" )&＃64;Produces( MediaType.APPLICATION_JSON )public Response demoGetMethod();&＃64;POST&＃64;Path( "demo-post-method" )&＃64;Produces( MediaType.APPLICATION_JSON )public Response demoPostMethod();&＃64;POST&＃64;Path( "logout" )public Response logout(&＃64;Context HttpHeaders httpHeaders);
}
DemoBusinessRESTResource.java的代码&＃xff1a;
package com.developerscrappad.business;import com.developerscrappad.intf.DemoBusinessRESTResourceProxy;
import com.developerscrappad.intf.DemoHTTPHeaderNames;
import java.security.GeneralSecurityException;
import javax.ejb.Stateless;
import javax.json.Json;
import javax.json.JsonObject;
import javax.json.JsonObjectBuilder;
import javax.security.auth.login.LoginException;
import javax.ws.rs.FormParam;
import javax.ws.rs.core.CacheControl;
import javax.ws.rs.core.Context;
import javax.ws.rs.core.HttpHeaders;
import javax.ws.rs.core.Response;&＃64;Stateless( name &＃61; "DemoBusinessRESTResource", mappedName &＃61; "ejb/DemoBusinessRESTResource" )
public class DemoBusinessRESTResource implements DemoBusinessRESTResourceProxy {private static final long serialVersionUID &＃61; -6663599014192066936L;&＃64;Overridepublic Response login(&＃64;Context HttpHeaders httpHeaders,&＃64;FormParam( "username" ) String username,&＃64;FormParam( "password" ) String password ) {DemoAuthenticator demoAuthenticator &＃61; DemoAuthenticator.getInstance();String serviceKey &＃61; httpHeaders.getHeaderString( DemoHTTPHeaderNames.SERVICE_KEY );try {String authToken &＃61; demoAuthenticator.login( serviceKey, username, password );JsonObjectBuilder jsonObjBuilder &＃61; Json.createObjectBuilder();jsonObjBuilder.add( "auth_token", authToken );JsonObject jsonObj &＃61; jsonObjBuilder.build();return getNoCacheResponseBuilder( Response.Status.OK ).entity( jsonObj.toString() ).build();} catch ( final LoginException ex ) {JsonObjectBuilder jsonObjBuilder &＃61; Json.createObjectBuilder();jsonObjBuilder.add( "message", "Problem matching service key, username and password" );JsonObject jsonObj &＃61; jsonObjBuilder.build();return getNoCacheResponseBuilder( Response.Status.UNAUTHORIZED ).entity( jsonObj.toString() ).build();}}&＃64;Overridepublic Response demoGetMethod() {JsonObjectBuilder jsonObjBuilder &＃61; Json.createObjectBuilder();jsonObjBuilder.add( "message", "Executed demoGetMethod" );JsonObject jsonObj &＃61; jsonObjBuilder.build();return getNoCacheResponseBuilder( Response.Status.OK ).entity( jsonObj.toString() ).build();}&＃64;Overridepublic Response demoPostMethod() {JsonObjectBuilder jsonObjBuilder &＃61; Json.createObjectBuilder();jsonObjBuilder.add( "message", "Executed demoPostMethod" );JsonObject jsonObj &＃61; jsonObjBuilder.build();return getNoCacheResponseBuilder( Response.Status.ACCEPTED ).entity( jsonObj.toString() ).build();}&＃64;Overridepublic Response logout(&＃64;Context HttpHeaders httpHeaders ) {try {DemoAuthenticator demoAuthenticator &＃61; DemoAuthenticator.getInstance();String serviceKey &＃61; httpHeaders.getHeaderString( DemoHTTPHeaderNames.SERVICE_KEY );String authToken &＃61; httpHeaders.getHeaderString( DemoHTTPHeaderNames.AUTH_TOKEN );demoAuthenticator.logout( serviceKey, authToken );return getNoCacheResponseBuilder( Response.Status.NO_CONTENT ).build();} catch ( final GeneralSecurityException ex ) {return getNoCacheResponseBuilder( Response.Status.INTERNAL_SERVER_ERROR ).build();}}private Response.ResponseBuilder getNoCacheResponseBuilder( Response.Status status ) {CacheControl cc &＃61; new CacheControl();cc.setNoCache( true );cc.setMaxAge( -1 );cc.setMustRevalidate( true );return Response.status( status ).cacheControl( cc );}
}
login&＃xff08;&＃xff09;方法用于验证用户名&＃xff0c;密码以及正确的服务密钥。 在login&＃xff08;&＃xff09;之后 &＃xff0c;将生成授权令牌并将其返回给客户端。 客户端稍后将不得不将其用于任何其他方法调用。 demoGetMethod&＃xff08;&＃xff09;和demoPostMethod&＃xff08;&＃xff09;只是伪方法&＃xff0c;它们出于演示目的返回JSON消息&＃xff0c;但有一个特殊条件&＃xff0c;即必须存在有效的授权令牌。 logout&＃xff08;&＃xff09;方法用于使用户退出REST服务&＃xff1b; 用户由“ auth_token ”标识。
服务密钥和授权令牌将通过以下方式提供给REST服务方法&＃xff1a;
&＃64;Context HttpHeaders httpHeaders
httpHeaders是javax.ws.rs.core.HttpHeaders的实例&＃xff0c;是一个对象&＃xff0c;其中包含标题名称和值&＃xff0c;供以后使用该应用程序使用。 但是&＃xff0c;为了使REST服务接受HTTP标头&＃xff0c;首先需要通过REST请求拦截器和响应拦截器来完成某些操作。
通过JAX-RS 2.0拦截器使用HTTP标头进行身份验证
由于某些安全限制&＃xff0c;只是不要希望可以使用任何REST客户端传递任何HTTP标头&＃xff0c;并希望REST服务接受它。 就是那样行不通。
为了使特定的标头在REST服务中被接受&＃xff0c;我们必须非常明确地在响应过滤器拦截器中定义HTTP标头的接受。
DemoRESTResponseFilter.java的代码&＃xff1a;
package com.developerscrappad.interceptors;import com.developerscrappad.intf.DemoHTTPHeaderNames;
import java.io.IOException;
import java.util.logging.Logger;
import javax.ws.rs.container.ContainerRequestContext;
import javax.ws.rs.container.ContainerResponseContext;
import javax.ws.rs.container.ContainerResponseFilter;
import javax.ws.rs.container.PreMatching;
import javax.ws.rs.ext.Provider;&＃64;Provider
&＃64;PreMatching
public class DemoRESTResponseFilter implements ContainerResponseFilter {private final static Logger log &＃61; Logger.getLogger( DemoRESTResponseFilter.class.getName() );&＃64;Overridepublic void filter( ContainerRequestContext requestCtx, ContainerResponseContext responseCtx ) throws IOException {log.info( "Filtering REST Response" );responseCtx.getHeaders().add( "Access-Control-Allow-Origin", "*" ); // You may further limit certain client IPs with Access-Control-Allow-Origin instead of &＃39;*&＃39;responseCtx.getHeaders().add( "Access-Control-Allow-Credentials", "true" );responseCtx.getHeaders().add( "Access-Control-Allow-Methods", "GET, POST, DELETE, PUT" );responseCtx.getHeaders().add( "Access-Control-Allow-Headers", DemoHTTPHeaderNames.SERVICE_KEY &＃43; ", " &＃43; DemoHTTPHeaderNames.AUTH_TOKEN );}
}
DemoRESTResponseFilter是一个实现ContainerResponseFilter的JAX-RS 2.0拦截器。 不要忘记同时使用&＃64;Provide和&＃64;PreMatching对其进行注释。 为了允许接受某些特定的自定义HTTP标头&＃xff0c;标头名称“ Access-Control-Allow-Headers ”后跟带有“&＃xff0c;”的标头值&＃xff0c;因为分隔符必须作为自定义标头值的一部分添加。 这是通知浏览器或REST客户端允许的自定义标头的方法。 其余的标头用于CORS&＃xff0c;您可以在我们的文章Java EE 7 / JAX-RS 2.0 – REST上的CORS&＃xff08;如何使REST API从其他域访问&＃xff09;中 。
接下来&＃xff0c;要验证和验证服务密钥和授权令牌&＃xff0c;我们需要从HTTP标头中将其提取出来&＃xff0c;并使用请求过滤器拦截器对其进行预处理。
DemoRESTRequestFilter的代码&＃xff1a;
package com.developerscrappad.interceptors;import com.developerscrappad.business.DemoAuthenticator;
import com.developerscrappad.intf.DemoHTTPHeaderNames;
import java.io.IOException;
import java.util.logging.Logger;
import javax.ws.rs.container.ContainerRequestContext;
import javax.ws.rs.container.ContainerRequestFilter;
import javax.ws.rs.container.PreMatching;
import javax.ws.rs.core.Response;
import javax.ws.rs.ext.Provider;&＃64;Provider
&＃64;PreMatching
public class DemoRESTRequestFilter implements ContainerRequestFilter {private final static Logger log &＃61; Logger.getLogger( DemoRESTRequestFilter.class.getName() );&＃64;Overridepublic void filter( ContainerRequestContext requestCtx ) throws IOException {String path &＃61; requestCtx.getUriInfo().getPath();log.info( "Filtering request path: " &＃43; path );// IMPORTANT!!! First, Acknowledge any pre-flight test from browsers for this case before validating the headers (CORS stuff)if ( requestCtx.getRequest().getMethod().equals( "OPTIONS" ) ) {requestCtx.abortWith( Response.status( Response.Status.OK ).build() );return;}// Then check is the service key exists and is valid.DemoAuthenticator demoAuthenticator &＃61; DemoAuthenticator.getInstance();String serviceKey &＃61; requestCtx.getHeaderString( DemoHTTPHeaderNames.SERVICE_KEY );if ( !demoAuthenticator.isServiceKeyValid( serviceKey ) ) {// Kick anyone without a valid service keyrequestCtx.abortWith( Response.status( Response.Status.UNAUTHORIZED ).build() );return;}// For any pther methods besides login, the authToken must be verifiedif ( !path.startsWith( "/demo-business-resource/login/" ) ) {String authToken &＃61; requestCtx.getHeaderString( DemoHTTPHeaderNames.AUTH_TOKEN );// if it isn&＃39;t valid, just kick them out.if ( !demoAuthenticator.isAuthTokenValid( serviceKey, authToken ) ) {requestCtx.abortWith( Response.status( Response.Status.UNAUTHORIZED ).build() );}}}
}
要获取标头值&＃xff0c;我们调用ContainerRequestContext对象实例的getHeaderString&＃xff08;&＃xff09;方法&＃xff0c;例如&＃xff1a;
String serviceKey &＃61; requestCtx.getHeaderString( "service_key" );
DemoRESTRequestFilter中的其余代码在验证和验证服务密钥和授权令牌方面非常简单。
REST服务部署
不要忘记定义用于启用REST服务的web.xml。
web.xml的代码&＃xff1a;
javax.ws.rs.core.Application1javax.ws.rs.core.Application/rest-api/*
对于本演示&＃xff0c;我将编译后的代码打包到一个名为RESTSecurityWithHTTPHeaderDemo.war的war文件中。 我选择在开发人员域crappad.com&＃xff08;此博客的域&＃xff09;上的Glassfish 4.0上进行部署。 如果您正在阅读本教程中的所有内容&＃xff0c;则可以选择自己的其他域。 REST API URL将采用以下格式&＃xff1a;
http://
无论如何&＃xff0c;我正在使用的测试客户端的URL摘要是&＃xff1a;
| 方法 | REST URL | HTTP方法 |
| DemoBusinessRESTResourceProxy.login&＃xff08;&＃xff09; | http://developerscrappad.com:8080/RESTSecurityWithHTTPHeaderDemo/rest-api/demo-business-resource/login/ | 开机自检 |
| DemoBusinessRESTResourceProxy。 demoGetMethod&＃xff08;&＃xff09; | http://developerscrappad.com:8080/RESTSecurityWithHTTPHeaderDemo/rest-api/demo-business-resource/demo-get-method/ | 得到 |
| DemoBusinessRESTResourceProxy。 demoPostMethod&＃xff08;&＃xff09; | http://developerscrappad.com:8080/RESTSecurityWithHTTPHeaderDemo/rest-api/demo-business-resource/demo-post-method/ | 开机自检 |
| DemoBusinessRESTResourceProxy.logout&＃xff08;&＃xff09; | http://developerscrappad.com:8080/RESTSecurityWithHTTPHeaderDemo/rest-api/demo-business-resource/logout/ | 开机自检 |
REST客户端
总而言之&＃xff0c;这是我编写的用于测试REST API的REST客户端。 REST客户端只是一个HTML文件&＃xff08;特别是HTML5&＃xff0c;它支持Web存储&＃xff09;&＃xff0c;该文件利用jQuery进行REST API调用。 REST客户端的作用如下&＃xff1a;
- 首先&＃xff0c;REST客户端将在没有服务密钥和授权令牌的情况下进行REST API调用。 呼叫将被拒绝&＃xff0c;HTTP状态为401&＃xff08;未授权&＃xff09;
- 接下来&＃xff0c;它将使用“ username2”的特定服务密钥&＃xff08;目前在Authenticator.java中进行硬编码&＃xff09;执行登录。 收到授权令牌后&＃xff0c;它将被存储在sessionStorage中以备将来使用。
- 然后&＃xff0c;它将调用虚拟的get和post方法。
- 之后&＃xff0c;它将执行注销
- 用户注销后&＃xff0c;客户端将执行对虚拟get and post方法的调用&＃xff0c;但是由于授权令牌的到期&＃xff0c;访问将被HTTP状态401拒绝。
rest-auth-test.html的代码&＃xff1a;
结果
rest-auth-test.html不需要与war文件打包在一起&＃xff0c;这是为了将调用客户端脚本与服务器端应用程序分开以模拟跨域请求。 要运行rest-auth-test.html&＃xff0c;您需要做的就是从Web浏览器执行它。 对我来说&＃xff0c;我已经通过Firefox使用Firebug插件完成了此操作&＃xff0c;结果如下&＃xff1a;
rest-auth-test.html的结果
效果很好。 第一个和最后一个请求将被拒绝为401&＃xff08;未经授权&＃xff09;HTTP状态&＃xff0c;因为它是在身份验证之前和注销之后执行的&＃xff08;无效auth_token &＃xff09;。
最后的话
在JAX-RS 2.0应用程序中处理自定义HTTP标头时&＃xff0c;只需记住将自定义HTTP标头名称作为响应过滤器中“ Access-Control-Allow-Header ”的一部分包含在内即可。
Access-Control-Allow-Headers: custom_header_name1, custom_header_name2
之后&＃xff0c;可以通过REST上下文在javax.ws.rs.core.HttpHeaders的帮助下&＃xff0c;在REST Web服务方法中轻松获得HTTP标头。 不要忘记对CORS的限制和影响&＃xff0c;在REST请求和响应拦截器中都应注意这一点。
感谢您的阅读&＃xff0c;希望本文对您有所帮助。
相关文章&＃xff1a;
- Java EE 7 / JAX-RS 2.0 – REST上的CORS&＃xff08;如何使REST API从其他域访问&＃xff09;
- http://en.wikipedia.org/wiki/Cross-origin_resource_sharing
- http://www.html5rocks.com/zh-CN/tutorials/cors/
- http://www.w3.org/TR/cors/
- https://developer.mozilla.org/en/docs/HTTP/Access_control_CORS
翻译自: https://www.javacodegeeks.com/2014/10/java-ee-7-jax-rs-2-0-simple-rest-api-authentication-authorization-with-custom-http-header.html
input发送a.jax
京公网安备 11010802041100号