java - 使用HttpClient的基于表单的身份验证-j_security_check

Question

我正在尝试使用Apache HttpClient Java库对使用基于表单的身份验证的网站(例如，facebook.com)进行身份验证。
使用此网站的程序作为主要示例:http://www.elitejavacoder.com/2013/10/http-client-form-based-authentication.html，我能够做到这一点-但有些事情我对该程序不了解。这是代码:

package com.elitejavacoder.http.client;

import java.util.ArrayList;
import java.util.List;

import org.apache.http.HttpEntity;
import org.apache.http.HttpHost;
import org.apache.http.HttpResponse;
import org.apache.http.NameValuePair;
import org.apache.http.client.entity.UrlEncodedFormEntity;
import org.apache.http.client.methods.HttpGet;
import org.apache.http.client.methods.HttpPost;
import org.apache.http.client.params.ClientPNames;
import org.apache.http.impl.client.DefaultHttpClient;
import org.apache.http.message.BasicNameValuePair;
import org.apache.http.util.EntityUtils;

public class HttpClientFormAuthentication {
    public static void main(String[] agrs) {
        String host = "yourhostname.com";
        int port = 8080;
        String protocol = "http";

        DefaultHttpClient client = new DefaultHttpClient();

        try {
            HttpHost httpHost = new HttpHost(host, port, protocol);
            client.getParams().setParameter(ClientPNames.DEFAULT_HOST, httpHost);

            HttpGet securedResource = new HttpGet("/secured/index.jsp");            
            HttpResponse httpResponse = client.execute(securedResource);
            HttpEntity responseEntity = httpResponse.getEntity();
            String strResponse = EntityUtils.toString(responseEntity);
            int statusCode = httpResponse.getStatusLine().getStatusCode();
            EntityUtils.consume(responseEntity);

            System.out.println("Http status code for Unauthenticated Request: " + statusCode);// Statue code should be 200
            System.out.println("Response for Unauthenticated Request: \n" + strResponse); // Should be login page
            System.out.println("================================================================\n");

            HttpPost authpost = new HttpPost("/j_security_check");
            List<NameValuePair> nameValuePairs = new ArrayList<NameValuePair>();
            nameValuePairs.add(new BasicNameValuePair("j_username", "yourusername"));
            nameValuePairs.add(new BasicNameValuePair("j_password", "yourpassword"));
            authpost.setEntity(new UrlEncodedFormEntity(nameValuePairs));

            httpResponse = client.execute(authpost);
            responseEntity = httpResponse.getEntity();
            strResponse = EntityUtils.toString(responseEntity);
            statusCode = httpResponse.getStatusLine().getStatusCode();
            EntityUtils.consume(responseEntity);

            System.out.println("Http status code for Authenticattion Request: " + statusCode);// Status code should be 302
            System.out.println("Response for Authenticattion Request: \n" + strResponse); // Should be blank string
            System.out.println("================================================================\n");

            httpResponse = client.execute(securedResource);
            responseEntity = httpResponse.getEntity();
            strResponse = EntityUtils.toString(responseEntity);
            statusCode = httpResponse.getStatusLine().getStatusCode();
            EntityUtils.consume(responseEntity);

            System.out.println("Http status code for Authenticated Request: " + statusCode);// Status code should be 200
            System.out.println("Response for Authenticated Request: \n" + strResponse);// Should be actual page
            System.out.println("================================================================\n");
        }
        catch (Exception ex) {
            ex.printStackTrace();
        }
    }
}

我有以下问题(我要引用的行号是在我上面提供的链接的上下文中，因为StackOverflow不允许包含行号):

“/j_security_check”(第41行)到底是什么？作者如何知道他必须使用“j_security_check”而不是 protected 资源的名称？

为什么字符串“strResponse = EntityUtils.toString(responseEntity);” (第49行)，位于“httpResponse = client.execute(authpost);”之后的两行(第47行)与字符串“strResponse = EntityUtils.toString(responseEntity);”不同。 (第59行)，位于“httpResponse = client.execute(securedResource);”之后的两行(第57行)？
基本上，第47和57行之间的“客户”发生了什么变化？

谢谢

Answer 1

/j_security_check是一种表单操作，因此容器知道此请求是用于身份验证的，并且容器可以处理该请求。 /j_security_check是用于提交特定于Enterprise Java应用程序服务器的身份验证表单的Web地址。
j_username和j_password是用于提交用户名和密码的请求参数的名称。这三个名称应以这种方式命名(即j_security_check，j_username和j_password)，以便容器将该请求作为身份验证请求进行处理，并且它可以从提交的请求中检索所需的信息(即用户名和密码)。

作者知道他/她需要使用/j_security_check，因为他/她假设自己正在针对J2EE应用服务器进行身份验证。这不是一个很好的假设。注意端口设置为8080吗？这是Java服务器(例如Tomcat)通常使用的端口，因此它们不会与HTTP服务器上的端口80冲突。

第47行的strResponse包含登录请求本身的内容(没有内容)，第57行的strResponse包含 protected 页面的内容。这是分割:

如果在Web浏览器中执行此操作，则会发生以下情况。

您将输入安全页面的地址，然后按Enter。

由于您未通过身份验证，因此服务器将使用登录表单页面进行响应。

您将输入用户名和密码，然后单击提交。

您将获得安全的页面。服务器将返回一个302重定向代码，其中包含您最初请求的地址以及您的浏览器将存储的身份验证cookie。您的浏览器重新访问了该页面，但是现在您的浏览器也发送了cookie，因此您无需尝试提供登录表单，而是获得了您尝试访问的页面。

第31行是未经身份验证的初始页面访问。
第38-39行显示了登录表单，
第41-45行相当于在表单中输入您的用户名和密码。
第47行就像单击“提交”按钮。
第49行显示了服务器发送的响应消息。请注意，在第54行中，注释为“应为空字符串”。提交用户名和密码时，响应中最关心的是HTTP状态。打印出状态码的行中的注释为“状态码应为302”。 302是HTTP状态，告诉浏览器进行重定向。响应头将包含您的浏览器重定向到的地址。响应头还包含身份验证cookie。如果也可以将其打印出来，那将是很好的，这将有助于理解它们的工作原理。该代码在第57行上手动进行重定向，但是假设它将被重定向到它在第31行上尝试访问的 protected 页面，而不是从HTTP响应 header 中检索该地址。
client的最大变化是，第57行 client具有身份验证cookie，类似于浏览器操作。 DefaultHttpClient为您处理所有这些事情。

身份验证cookie以Set-Cookie HTTP header 的形式来自服务器。这告诉 client存储cookie。然后，在发出请求时，客户端会发送Cookie HTTP header 以及Cookie数据。
client最初在响应中接收包含存储的登录表单的cookie。当 client发回填写的表单时，该cookie也将包含在请求中，此后每个请求都发送到服务器。因此，一旦您通过身份验证，服务器就会存储该信息并将其与cookie关联。然后，当后续请求来自 client时，服务器将看到该cookie并记住您已通过身份验证。 client与浏览器执行所有相同的操作，以管理与服务器之间的cookie数据传输。