spring - Java EE 模式 : authorisation and RESTful service implementation

Question

我想使用 Tomcat 实现一个基本的 RESTful 服务。 API 在使用前需要授权。授权将通过请求帐户“资源”来实现，例如

some.domain.com/rest/accounts?user=ABC&password=XYZ

如果凭据有效，将以 JSON 格式返回适当的帐户资源，或者返回 403 类型的空响应。授权完成后，客户端即可访问API(举例):

some.domain.com/rest/secure/bookings
some.domain.com/rest/secure/friends

但是，我对所有实现选项感到迷茫。我知道我想使用 Spring，但 Jackson 似乎更容易返回 JSON 对象。

问题:

1. 即使使用 Jackson 的类也是一种 Controller ，我是否应该实现一个 Spring Controller ？或者，如果我使用 Jackson，是否不需要 Sping Controller ？

2. 是否应该使用 Spring-Security、Tomcat 过滤器或 Spring 的 AOP 执行身份验证？

似乎有很多方法可以做事，但我的首要任务是保持简单。

Answer 1

这可能是我见过的最伤脑筋的身份验证方式。身份验证不是REST API 的关注点，而是具有 Basic、Digest、Negotiate 等的底层框架/服务器的关注点。正如 duffymo 已经说过的，Spring Security 是最自然的方式。