jquery - Java Jax-RS( Jersey )后端和 jQuery 前端 -> 安全性 + session

Question

我目前正在开发一个在服务器端使用 Jax-RS(部署在 tomcat 7 容器上)并在前端使用 HTML5、CSS3 和 jQuery 的轻量级 Web 应用程序。

连接正常。我不知道的是如何保护应用程序。我的想法是用户可以通过前端注册并分配给默认角色(例如用户)。

从那时起，用户可以登录该网站并能够，例如注册类(class)或类似的东西。

如何以安全的方式实现这一目标？最好使用 tomcats 身份验证(DIGEST 或 FORM)吗？或者还有其他方法吗？像例如在每个请求中将用户和密码作为 MD5 散列传输？

如果我可以在 Ressource 类中使用 @RolesAllowed Annotation 来注释只应由特定组访问的方法，那就太好了。

我如何在客户端存储用户数据？这样用户就不需要在每次请求后都登录？我必须为此使用 cookie 吗？

我不确定的另一件事是如何存储购物车中的数据。在我为特定用户存储所有购物车内容的服务器上使用数据库表是个好主意吗？我该如何识别那里的用户？登录用户和表中购物车条目之间的映射是什么样的？

我希望有人能帮助我 :-)。

提前致谢

问候

Answer 1

我已经在几个使用 session cookie 的系统中做到了这一点。简单的方法是将 @Context HttpServletRequest 添加为每个服务器端 Jersey-fied 方法的参数，它将在那里获取 session 。在我的例子中，我有一个安全处理程序(类似于 Shiro，但没有它的包袱)，它将包装的用户 session 作为 Tomcat 过滤器放置在线程上下文中，所以我不使用 @Context HttpServletRequest注解。如果用户尝试通过他们不可用的 ID 访问 Restful 资源，他们将得不到任何响应。