jax-rs - RESTEasy 支持 JAX-RS @RolesAllowed

Question

我花了几个小时在嵌入式 Jetty 9.1.0.v20131115 和 RESTEasy 3.0.5.Final 中安装自定义登录服务。我的登录服务将在数据库中查找用户并为他们分配角色。它看起来像这样:

final Constraint restConstraint = new Constraint();
restConstraint.setName(Constraint.__BASIC_AUTH);
restConstraint.setRoles(new String[]{"user", "admin");
restConstraint.setAuthenticate(true);
final ConstraintMapping restConstraintMapping = new ConstraintMapping();
restConstraintMapping.setConstraint(restConstraint);
restConstraintMapping.setPathSpec("/api/*");
final ConstraintSecurityHandler restSecurityHandler = new ConstraintSecurityHandler();
final LoginService myLoginService = new MyLoginService();
restSecurityHandler.setAuthenticator(new BasicAuthenticator());
restSecurityHandler.setRealmName(myLoginService.getName());
restSecurityHandler.addConstraintMapping(restConstraintMapping);
restSecurityHandler.setLoginService(myLoginService);

我有用户 joe-user 和 jane-admin 都有 user 的角色code> 和 admin 角色。我有一个名为 my-resource 的 REST GET 资源，标记为:

@RolesAllowed("admin")

当我在 my-resource 上执行 HTTP GET 时，浏览器正确请求凭据，我可以以 joe-user 登录或 jane-admin。问题是任何一个用户都可以GET my-resource!!

我已经跟踪了一些 Jetty 代码，事实上，作为我上面的登录服务的结果，Jetty 询问登录用户支持哪些角色。不幸的是，无论用户是什么，Jetty 都将接受我在 restConstraint.setRoles(new String[]{"user", "admin") 中指定的任何角色.

显然，RESTEasy 层应该识别 @RolesAllowed("admin") 注释并验证用户。但是我如何让 RESTEasy 做到这一点呢？

Answer 1

在 RESTEasy documentation 的帮助下，我发现为了让 RESTEasy 遵守 @RolesAllowed 注释，必须打开 中的 resteasy.role.based.security 上下文参数开关web.xml 文件；或以编程方式，就像我正在做的那样:

final ServletHolder servletHolder = new ServletHolder(new HttpServlet30Dispatcher());
servletHolder.setInitParameter("javax.ws.rs.Application", MyApplication.class.getName());
servletHolder.setInitParameter("resteasy.role.based.security", String.valueOf(true));
contextHandler.addServlet(servletHolder, "/api/*");