java - webapp 和 web 服务之间的安全通信

Question

我有一个在 tomcat 上运行的网络应用程序和网络服务。为了访问 Web 应用程序的某些部分并调用 Web 服务，用户必须登录。用于登录的 session 存储在 tomcat 上。

我的问题是，如何使 session 对 Web 应用程序和 Web 服务都可用，以便始终存在用户通过实时 session 访问的安全检查？我正在考虑让两者都在同一个 tomcat 服务器上运行，所以也许它们可以访问同一个连接池？

Answer 1

你必须反过来做。您需要在 web 服务中为用户生成某种安全 token (从您的 webapp 请求它)，并针对此 token 验证传入的 web 服务请求。在用户注销(或 session 将过期，例如超时)后，webapp 应请求使 webservice 上的安全 token 无效。