Jersey，Tomcat和安全注释

我需要在Tomcat 6.0.24容器中保护简单的Jersey RESTful API。我想使用基本身份验证使用tomcat-users.xml文件来定义用户和角色（这是现在，就像我说的那么小）。现在Jersey，Tomcat和安全注释

，授权我希望能够使用JSR 250注解像@RolesAllowed，@PermitAll，@DenyAll等

我不能为我的生活弄清楚如何连接这一切在一起。

我真的不想去春季安全路线，因为我目前需要的东西很简单。

有人能指出我正确的方向吗？

来源

2010-02-18 jr.

既然你用'spring'和'spring-security'标记了这个问题，但你反而说你不想使用它，你真的在使用spring吗？如果没有，就把它们留下。 – BalusC 2010-02-18 23:20:05

http://stackoverflow.com/questions/16433315/can-i-use-rolesallowed-on-restful-resources-implemented-on-apache-cxf – JayTee 2014-01-17 11:36:22

您可以先使用一个涵盖身份验证和权限管理的过滤器开始。通过实现ResourceFilter和ContainerRequestFilter，您可以获得httpRequest，然后会话将您的应用程序/请求重定向到相关方法。

对于权限管理，您可以实现SecurityContext过滤器。首先要检查isUserInRole以让请求进入方法。

这里是SecurityContext的实施sasmple：

public class SecurityContextImpl implements SecurityContext { 

    private final SessionUser user; 

    public SecurityContextImpl(SessionUser user) { 
     this.user = user; 
    } 

    public Principal getUserPrincipal() { 
     return user; 
    } 

    public boolean isUserInRole(String role) { 

     if(user == null) { 
      throw new AuthenticationException(); 
     } 
     if(ObjectUtil.isNull(user.getPrivileges())){ 
      throw new AuthenticationException(); 
     } 
     if(!user.getPrivileges().contains(role)) { 
      throw new InvalidAuthorizationHeaderException(); 
     } 
     return user.getPrivileges().contains(role); 
    } 

    public boolean isSecure() { 
     return false; 
    } 

    public String getAuthenticationScheme() { 
     return SecurityContext.BASIC_AUTH; 
    } 
}

以下是基本secirtyCotnextFilter实现：

public class SecurityContextFilter implements ResourceFilter, ContainerRequestFilter { 

    private static final Logger LOG = LoggerFactory.getLogger(SecurityContextFilter.class); 

    protected static final String HEADER_AUTHORIZATION = "Authorization"; 

    protected static final String HEADER_DATE = "x-java-rest-date"; 

    protected static final String HEADER_NONCE = "nonce"; 


    private HttpServletRequest httpRequest; 




    public SecurityContextFilter() { 


    } 


    public ContainerRequest filter(ContainerRequest request) { 

     SessionUser sessionUser = (SessionUser) httpRequest 
       .getSession() 
       .getAttribute("sessionUser"); 

     request.setSecurityContext(new SecurityContextImpl(sessionUser)); 

     return request; 
    } 


    public ContainerRequestFilter getRequestFilter() { 
     return this; 
    } 

    public ContainerResponseFilter getResponseFilter() { 
     return null; 
    } 

    public HttpServletRequest getHttpRequest() { 
     return httpRequest; 
    } 

    public void setHttpRequest(HttpServletRequest httpRequest) { 
     this.httpRequest = httpRequest; 
    } 


}

不要fotget把你的过滤器在web.xml内的init-PARAM ，

然后，您可以使用角色特权认证逻辑处理请求。

来源

2014-01-15 13:58:17 erhan

Jersey，Tomcat和安全注释

回答

相关问题