JAX-RS访问控制

Question

有人可以向我提供一些有关 JAX-R Web 服务中的访问控制的指示吗？例如根据用户凭据、名称或任何其他标准限制访问。在sun手册中找不到任何有用的信息。

提前致谢，阿迪尔

Answer 1

我个人使用 Spring security 来完成此任务。 Spring security 允许轻松使用各种身份验证和授权方案(例如，通过针对数据库或 LDAP 服务器检查 HTTP 请求中的基本/摘要 header )。使用 JAX-RS 设置并不难，并且还有一个基于方面的漂亮权限系统，您可以在其中执行诸如

之类的操作

@PreAuthorize("hasRole('ROLE_ADMIN') or order.customer.username == user.username) deleteOrder(Order order);

这确保经过身份验证的用户必须位于ROLE_ADMIN组中或者是订单的所有者才能删除它。

配置完成后，您在 JAX-RS 资源中要做的就是处理来自 spring 的安全异常并采取适当的操作(例如，通过抛出 WebApplicationException强>如所述here)