spring - 通过没有表单登录的 Spring Security 休息基本身份验证

Question

我正在尝试创建一个可供其他 Web 服务使用的 Restful Web 服务。理想情况下，当客户端访问服务并且未经过身份验证时，他们应该得到 401。我希望用户能够通过向请求添加身份验证 header 来进行身份验证。我不希望用户填写登录表单并发布。我也不希望它在 cookie 中存储任何登录凭据(即保持状态)，它应该都在随每个请求发送的 auth header 中。我已经使用 spring roo 创建了 web 服务。

我目前所拥有的(取自 spring security 3.1 教程之一)，当用户收到 401 时，会提示他们登录页面，然后发布页面，获取他们随每个请求发送的 cookie .

这是我的 Spring Security xml。

 <http use-expressions="true">
   <intercept-url pattern="/customers/**" access="isAuthenticated()" />
 <intercept-url pattern="/**" access="denyAll" />
<form-login />
 </http>
<authentication-manager>
    <authentication-provider>
        <user-service>
            <user name="alice" password="other" authorities="user" />
            <user name="custome1" password="other" authorities="user" />
        </user-service>
    </authentication-provider>
</authentication-manager>

当我从 curl 发送请求时，我得到以下信息:

 $ curl -i -H "Accept: application/json" -H "Authorization: Basic Y3VzdG9tZXIxOm90aGVy" http://localhost:8080/Secured/customers

 HTTP/1.1 302 Found
 Server: Apache-Coyote/1.1
 Set-Cookie: JSESSIONID=B4F983464F68199FA0160DBE6279F440; Path=/Secured/; HttpOnly
 Location:      http://localhost:8080/Secured/spring_security_login;jsessionid=B4F983464F68199FA0160DBE6279F440
 Content-Length: 0
 Date: Thu, 25 Apr 2013 17:18:48 GMT

我的基本 header 标记是 base64(customer1:other)

如何让 Web 服务接受 auth header ，而不是将我重定向到登录页面？

当我从 security.xml 中删除时，我得到以下信息:

excpetion:org.springframework.beans.factory.parsing.BeanDefinitionParsingException:
    Configuration problem: No AuthenticationEntryPoint could be established.
    Please make sure you have a login mechanism configured through the namespace
    (such as form-login) or specify a custom AuthenticationEntryPoint with the
    'entry-point-ref' attribute

Answer 1

我需要删除 <form-login>并添加 <http-basic> .还在我的配置中添加了 create-session-"stateless"。

 <http use-expressions="true" create-session="stateless" >
     <intercept-url pattern="/customers/**" access="isAuthenticated()" />
     <intercept-url pattern="/**" access="denyAll" />
     <http-basic/>
 </http>