java - @RolesAllowed 无法通过 Jersey 解决

Question

我正在使用 JAX-RS 和 Jersey 实现。我正在尝试使用 Tomcat 6 使用 BASIC 身份验证来验证我的服务。

这是代码:

@Path("/authenticate")
@RolesAllowed({"Admin","Guest"})
public class BasicAuthenticationSecurity {

@GET
@Path("/wbiPing")
@Produces(MediaType.TEXT_PLAIN) 
@RolesAllowed("Admin")
public Response wbiPing(){

System.out.println("Pinged!!!");
return Response.ok("Pinged!!!").build();
}

}

当我尝试使用 @RolesAllows 注释我的方法时，出现编译错误:

@RolesAllows 无法解析为类型

请告诉我如何解决这个问题？为此需要任何特定的 jars/API 吗？

编辑:

web.xml

<servlet>
    <servlet-name>jersey-serlvet</servlet-name>
    <servlet-class>com.sun.jersey.spi.container.servlet.ServletContainer</servlet-class>
    <init-param>
        <param-name>com.sun.jersey.config.property.packages</param-name>
        <param-value>
            com.security;
            com.exception
        </param-value>
    </init-param>       
    <init-param>
        <param-name>com.sun.jersey.spi.container.ResourceFilters</param-name>
        <param-value>com.sun.jersey.api.container.filter.RolesAllowedResourceFilterFactory</param-value>
    </init-param>
    <load-on-startup>1</load-on-startup>
</servlet>

<servlet-mapping>
    <servlet-name>jersey-serlvet</servlet-name>
    <url-pattern>/*</url-pattern>
</servlet-mapping>

<security-constraint>      
  <web-resource-collection>
      <web-resource-name>BasicDemo</web-resource-name>          
      <url-pattern>/*</url-pattern>
      <http-method>GET</http-method>
  </web-resource-collection>
  <auth-constraint>
      <role-name>Admin</role-name>
  </auth-constraint>
</security-constraint>
  <login-config>
  <auth-method>BASIC</auth-method>
  <!-- The realm name is typically displayed by the browser in the login dialog box. -->
  <realm-name>Login</realm-name>      
  </login-config>

请让我知道这个问题。

Answer 1

在 this 的一行之前，我在类似的问题上挣扎了几个小时。 IBM 的文章让我大开眼界。令人惊讶的是，没有一本书或用户指南提到这个关键事实，没有它，身份验证就无法成功。

当使用基于注释的安全性时，web.xml 不是可选的；恰恰相反，<security-constraint>元素必须存在； Web 容器在 JAX-RS 之前检查安全性，并且没有 <security-constraint> ，未设置正确的安全上下文。因此，当 JAX-RS 调用 isUserInRole(role) 时，它总是返回 false。

此外，<security-role> web.xml 或 @DeclareRoles 中的元素注释必须存在。

最后，如果使用 Jersey，RolesAllowedDynamicFeature需要在 Application 类中注册以启用基于注释的安全性。

其他那些因可悲的文档或缺乏文档而苦苦挣扎的人，就在那里。