java - 在 Java Web 应用程序中实现协作身份验证

Question

我需要构建一个基于 Java 的 Web 应用程序，其中的资源只有在该资源的所有授权用户都登录后才可用。此外，如果任何授权用户注销，该资源将不再可用给他们中的任何一个。

资源可以是任何类型(html 页面、pdf 文档、电子表格等)

是否有支持此类要求的任何现有身份验证标准/协议(protocol)，或者我必须从头开始构建它？

Answer 1

the resource should be available only when all the authorized users of that resource are logged in. Also, if any authorized user logs out, the resource should no longer be available to any of them.

一旦您授予用户访问资源的权限，该用户就可以下载/截屏/保存/录制资源，无论是 PDF 文档、图像还是音频文件。我不知道您要构建的内容和目标，但您应该知道它在任何情况下都是不安全的。

即使不考虑这个因素，您仍需要一个实时解决方案。一旦用户加载了包含资源的页面，您需要能够隐藏或拒绝他的修改权限。这意味着您必须在客户端使用 WebSockets 或 Ajax 轮询之类的东西，让前端知道您的服务器何时认为并非所有需要的用户都在线，并且应该“拒绝”访问资源。但同样，由于这是客户端代码，它可以很容易地更改或改变，它发送的请求很容易被用户阻止，因此它再次本质上不安全。

我建议在这里提供一些上下文并描述您要解决的问题是什么，因为很可能有更合理的解决方案来解决它。

如果不是所有“资源所有者”都在线，您需要做的是拒绝修改权，因为修改将在服务器端发生，所以更容易实现。在这种情况下，可以很容易地实现使用 WebSockets 的解决方案，但我不知道执行此类操作的库或框架。您很可能必须自己构建它。