gpt4 book ai didi

java - JAX-RS (Jersey 2) 安全性,@PermitAll 和@RolesAllowed 未按预期工作

转载 作者:塔克拉玛干 更新时间:2023-11-02 08:03:46 25 4
gpt4 key购买 nike

我有一个包含三个资源的 REST-API。第一个中的方法称为 PublicResource,应该可供任何人访问(即匿名访问)。第二个方法称为 SecretResource,应该只对特定的用户组可用。最后,称为 MixedResource 的第三种资源具有混合设置,其中一些方法受到保护,一些方法开放供公众访问。

注释@PermitAll 和@RolesAllowed 并没有像我期望的那样工作。尽管 PublicResource 带有 @PermitAll 注释,但我在尝试访问它时仍然被要求授权。 MixedResource 中使用@PermitAll 注解的方法也是如此。所以基本上,我在所有资源中到处都被要求授权,即使我应该有匿名访问权限也是如此。

我在 Payara 4.1 上运行,我很困惑,因为我在 WebLogic 12.1.3 上运行的另一个应用程序中有一个非常相似的设置,并且注释按预期工作。我错过了什么或弄错了什么?请参阅下面的完整代码。

公共(public)资源.java:

    import javax.annotation.security.PermitAll;
import javax.ws.rs.GET;
import javax.ws.rs.Path;
import javax.ws.rs.Produces;
import javax.ws.rs.core.MediaType;

@Path("public")
@PermitAll
public class PublicResource {

@GET
@Produces(MediaType.TEXT_PLAIN)
public String itsPublic() {
return "public";
}

}

secret 资源.java:

    import javax.annotation.security.RolesAllowed;
import javax.ws.rs.GET;
import javax.ws.rs.core.MediaType;
import javax.ws.rs.Path;
import javax.ws.rs.Produces;

@Path("secret")
@RolesAllowed({ "SECRET" })
public class SecretResource {

@GET
@Produces(MediaType.TEXT_PLAIN)
public String itsSecret() {
return "secret";
}

}

混合资源.java:

    import javax.annotation.security.PermitAll;
import javax.annotation.security.RolesAllowed;
import javax.ws.rs.GET;
import javax.ws.rs.Path;
import javax.ws.rs.Produces;
import javax.ws.rs.core.MediaType;

@Path("mixed")
@PermitAll
public class MixedResource {

@GET
@Path("public")
@Produces(MediaType.TEXT_PLAIN)
public String itsPublic() {
return "public";
}

@GET
@Path("secret")
@RolesAllowed({ "SECRET" })
@Produces(MediaType.TEXT_PLAIN)
public String itsSecret() {
return "secret";
}

}

JAXRSConfiguration.java:

    import javax.ws.rs.ApplicationPath;
import javax.ws.rs.core.Application;

@ApplicationPath("resources")
public class JAXRSConfiguration extends Application {

}

web.xml:

    <?xml version="1.0" encoding="UTF-8"?>
<web-app xmlns="http://xmlns.jcp.org/xml/ns/javaee"
xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance"
xsi:schemaLocation="http://xmlns.jcp.org/xml/ns/javaee
http://xmlns.jcp.org/xml/ns/javaee/web-app_3_1.xsd"
version="3.1">
<session-config>
<session-timeout>30</session-timeout>
</session-config>
<security-constraint>
<web-resource-collection>
<web-resource-name>Basic Authorization</web-resource-name>
<description/>
<url-pattern>/resources/*</url-pattern>
</web-resource-collection>
<auth-constraint>
<role-name>SECRET</role-name>
</auth-constraint>
</security-constraint>
<login-config>
<auth-method>BASIC</auth-method>
<realm-name>file</realm-name>
</login-config>
<error-page>
<exception-type>java.lang.Throwable</exception-type>
<location>/error/internal</location>
</error-page>
<security-role>
<role-name>SECRET</role-name>
</security-role>
</web-app>

glassfish-web.xml:

    <?xml version="1.0" encoding="UTF-8"?>
<!DOCTYPE glassfish-web-app PUBLIC "-//GlassFish.org//DTD GlassFish Application Server 3.1 Servlet 3.0//EN" "http://glassfish.org/dtds/glassfish-web-app_3_0-1.dtd">
<glassfish-web-app error-url="">
<class-loader delegate="true"/>
<security-role-mapping>
<role-name>SECRET</role-name>
<group-name>cia</group-name>
</security-role-mapping>
<jsp-config>
<property name="keepgenerated" value="true">
<description>Keep a copy of the generated servlet class' java code.</description>
</property>
</jsp-config>
</glassfish-web-app>

beans.xml:

    <?xml version="1.0" encoding="UTF-8"?>
<beans xmlns="http://xmlns.jcp.org/xml/ns/javaee"
xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance"
xsi:schemaLocation="http://xmlns.jcp.org/xml/ns/javaee http://xmlns.jcp.org/xml/ns/javaee/beans_1_1.xsd"
bean-discovery-mode="all">
</beans>

最佳答案

从表面上看,这不是 Jersey 的问题。您配置的唯一真正的安全性是在 servlet 容器级别。您的 Jersey 安全注释都没有任何效果,因为您甚至还没有为它配置 Jersey 特定支持。

先看你的web.xml配置

<security-constraint>
<web-resource-collection>
<web-resource-name>Basic Authorization</web-resource-name>
<description/>
<url-pattern>/resources/*</url-pattern>
</web-resource-collection>
<auth-constraint>
<role-name>SECRET</role-name>
</auth-constraint>
</security-constraint>

第一部分设置每个 资源都需要身份验证。所以您认为@PermitAll 不工作的问题,实际上是由于您将 servlet 配置为不允许任何未经身份验证的人通过。

然后您在 servlet 容器级别设置授权,只允许具有 SECRET 角色的用户。所以你所有的安全配置都在 web.xml 中配置。与 Jersey 无关。

要解决此问题,您需要了解的另一件事是身份验证和授权之间的区别,以及谁在其中扮演什么角色(关于 servlet 容器和 Jersey)。

@PermitAll@RolesAllowed 等只是 Jersey 处理授权的方式。预计已经有一个经过身份验证的用户。 Jersey 如何通过从 servlet 请求中获取委托(delegate)人来检查这一点。如果没有主体,则假定没有经过身份验证的用户,然后将不允许任何人通过,即使您有@PermitAll,因为即使@PermitAll 要求对用户进行身份验证。

也就是说,我不知道是否有办法在您的服务器中设置匿名用户。这是获得您想要的行为所需要的。请记住,Jersey 仍然要求有经过身份验证的用户。因此,除非您能以某种方式在容器中设置匿名用户,否则我认为您无法完成这项工作。

如果您有不同的安全路径和非安全路径,那么您可以只在 web.xml 中配置安全路径,其他一切都可以放手。有了这个,甚至不需要 @PermitAll。请记住,对于 @PermitAll,它需要经过身份验证的用户。但是,如果您只是删除 @PermitAll,那么所有请求都会通过。如果您将安全路径与不安全路径分开,这将是可能的。

如果您想要更多地控制所有这些,您最好实现自己的安全性而不是使用 servlet 容器。通常我不会推荐这个,但基本身份验证可能是最容易实现的安全协议(protocol)。你可以看看this example ,其中一切都使用 Jersey 过滤器完成。

最后要注意的是,您甚至还没有为 Jersey 配置授权支持。您仍然需要向应用程序注册 RolesAllowedDynamicFeature。由于您正在为 JAX-RS 配置使用类路径扫描(空应用程序类),因此您需要从 Feature 中注册它,如 this post 中所述。

关于java - JAX-RS (Jersey 2) 安全性,@PermitAll 和@RolesAllowed 未按预期工作,我们在Stack Overflow上找到一个类似的问题: https://stackoverflow.com/questions/43391070/

25 4 0
Copyright 2021 - 2024 cfsdn All Rights Reserved 蜀ICP备2022000587号
广告合作:1813099741@qq.com 6ren.com