java - Jersey 2.x 安全上下文不起作用？

Question

虽然我正在尝试创建 java jersey 应用程序身份验证角色，但它对我不起作用。

Java 代码:-

package org.student.resource;
import javax.annotation.security.PermitAll;
import javax.annotation.security.RolesAllowed;
import javax.ws.rs.GET;
import javax.ws.rs.POST;
import javax.ws.rs.Path;
import javax.ws.rs.ext.Provider;

@Path("/resource")
@PermitAll 
public class Resource {
@GET
public String get(){
    return "GET";
}

@RolesAllowed("admin")
@POST
public String post(){
    return "Post content.";
}

部署描述符:-

<web-app xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance"
xmlns="http://xmlns.jcp.org/xml/ns/javaee"
xsi:schemaLocation="http://xmlns.jcp.org/xml/ns/javaee http://xmlns.jcp.org/xml/ns/javaee/web-app_3_1.xsd"
id="WebApp_ID" version="3.1">
<display-name>JerseyAuthentication</display-name>
<servlet>
    <servlet-name>Application</servlet-name>
    <servlet-class>org.glassfish.jersey.servlet.ServletContainer</servlet-class>
</servlet>
<servlet-mapping>
    <servlet-name>Application</servlet-name>
    <url-pattern>/*</url-pattern>
</servlet-mapping>
<security-constraint>
    <web-resource-collection>
        <web-resource-name>Resource</web-resource-name>
        <url-pattern>/resource/*</url-pattern>
        <http-method>GET</http-method>
    </web-resource-collection>
</security-constraint>
<welcome-file-list>
    <welcome-file>login.html</welcome-file>
</welcome-file-list>
 </web-app>

标题:-

Cache-Control →private
Content-Language →en
Content-Length →1010
Content-Type →text/html;charset=utf-8
Date →Sat, 19 Sep 2015 08:14:18 GMT
Expires →Thu, 01 Jan 1970 05:30:00 IST
Server →Apache-Coyote/1.1

请有人帮我做这件事。我想知道为资源分配角色。

Answer 1

所以你需要做三件事

首先..

在 Tomcat 中设置安全域(我假设这是 Server →Apache-Coyote/1.1 的服务器)。您可以在 Realm Configuration HOW-TO 阅读有关创建领域的更多信息.

最容易配置的域是 UserDatabaseRealm ，但这绝不推荐用于生产。这只是为了让您在开发中启动和运行。您需要做的就是转到 tomcat-users.xml文件在 ${TOMCAT_HOME}/conf .然后只需编辑文件，它应该看起来像

<tomcat-users>
  <user username="Murugesan" password="secret" roles="admin" />
  <user username="peeskillet"  password="superSecret" roles="user"  />
</tomcat-users>

第二..

您还需要稍微配置一下 web.xml。你需要做一些事情

1. 声明允许使用该应用程序的角色。你可以把它放在 </security-contraint> 下面

   <security-role>
       <role-name>user</role-name>
   </security-role>
   <security-role>
       <role-name>admin</role-name>
   </security-role>
   

2. 声明允许访问<security-constraint>中定义的路径的角色

   <security-constraint>
       <web-resource-collection>
           <web-resource-name>Protected Area</web-resource-name>
           <url-pattern>/api/protected/*</url-pattern>
           <http-method>GET</http-method>
       </web-resource-collection>
       <auth-constraint>
           <role-name>*</role-name>
       </auth-constraint>
   </security-constraint>
   

   这里我们说任何具有声明角色之一的经过身份验证的用户 ( * ) 都可以通过 servlet 容器安全控制到达 Jersey 应用程序。或者，您可以定义角色而不是 * .这将导致 servlet 容器处理访问控制。但是，如果您想要更细粒度的控制，只需让所有经过身份验证的用户进入，并像您当前所做的那样使用注释处理 Jersey 内部的访问控制。

3. 您需要定义 <login-config>声明什么类型的认证。只有三个。 FORM , DIGEST , BASIC .这里我们将使用 BASIC , 并声明用户所在的领域。

   <login-config>
       <auth-method>BASIC</auth-method>
       <realm-name>UserDatabaseRealm</realm-name>
   </login-config>
   

   你可以把它放在 </security-role> 下面

最后..

您只需要通过注册 RolesAllowedDynamicFeature 来配置 Jersey 来处理安全注释。 .你可以在 web.xml 中做到这一点

<servlet>
    <servlet-name>Application</servlet-name>
    <servlet-class>org.glassfish.jersey.servlet.ServletContainer</servlet-class>
    <init-param>
        <param-name>jersey.config.server.provider.packages</param-name>
        <param-value>org.student.resource</param-value>
    </init-param>
    <init-param>
        <param-name>jersey.config.server.provider.classnames</param-name>
        <param-value>
            org.glassfish.jersey.server.filter.RolesAllowedDynamicFeature
        </param-value>
    </init-param>
    <load-on-startup>1</load-on-startup>
</servlet>

另请参阅:

• Securing Web Applications有关在 web.xml 中配置安全性的更多信息