环境:

• Java
• 玻璃鱼
• 不同机器上的 REST 服务
• HTML5 客户端 AJAX 和 JQuery
• Jersey

这是我到目前为止实现的:

HTML5 客户端

$('#btnSignIn').click(function () {
    var username = $("#username").val();
    var password = $("#password").val();

    function make_base_auth(user, password) {
        var tok = user + ':' + password;

        var final = "Basic " + $.base64.encode(tok);
        console.log("FINAL---->" + final);
        alert("FINAL---->" + final);

        return final;
    }

    $.ajax({
        type: "GET",
        contentType: "application/json",
        url: "http://localhost:8080/SesameService/webresources/users/secured/login",
        crossDomain: true,
        dataType: "text",
        async: false,
        data: {},
        beforeSend: function (xhr) {
            xhr.setRequestHeader('authorization', make_base_auth(username, password));
        },
        success: function () {
            alert('Thanks for your signin in! ');

        },
        error: function (jqXHR, textStatus, errorThrown) {
            console.log(textStatus, errorThrown);
            alert(' Error in signIn-process!! ' + textStatus);
        }
    });
});

服务器

在安全中，我没有启用安全管理器，它被禁用了!

我已经为 Glassfish 配置了 BASIC 身份验证，我的 web.xml 如下所示:

<servlet-mapping>
    <servlet-name>ServletAdaptor</servlet-name>
    <url-pattern>/webresources/*</url-pattern>
</servlet-mapping>

<security-constraint>
    <web-resource-collection>
        <web-resource-name>REST Protected resources</web-resource-name>
        <description/>
        <url-pattern>/users/*</url-pattern>
        
    </web-resource-collection>
    <auth-constraint>
        <role-name>admin</role-name>
        <role-name>customer</role-name>
        <role-name>user</role-name>
    </auth-constraint>
</security-constraint>



<login-config>
        <auth-method>BASIC</auth-method>
        <realm-name>jdbcRealm</realm-name>
    </login-config>
    <security-role>
        <role-name>admin</role-name>
    </security-role>
    <security-role>
        <role-name>user</role-name>
    </security-role>
    <security-role>
        <description/>
        <role-name>customer</role-name>
    </security-role>

玻璃鱼

日志

FINE: [Web-Security] Setting Policy Context ID: old = null ctxID = SesameService/SesameService
FINE: [Web-Security] hasUserDataPermission perm: ("javax.security.jacc.WebUserDataPermission" "/webresources/users/secured/login" "GET")
FINE: [Web-Security] hasUserDataPermission isGranted: true
FINE: [Web-Security] Policy Context ID was: SesameService/SesameService
FINE: [Web-Security] hasResource isGranted: true
FINE: [Web-Security] hasResource perm: ("javax.security.jacc.WebResourcePermission" "/webresources/users/secured/login" "GET")

问题:

1. 如果我在用户注册时在客户端加密(不编码)密码并在 SSL/HTTPS 下传输密码，这是实现此目的的安全且好的方法吗？

2. 如果我在没有客户端的情况下使用 REST 服务，它总是打开的，为什么？没有基本身份验证？我理解这些 url 模式有什么问题吗？

    http://localhost:8080/SesameService/webresources/users/secured/login
   

3. 如果我得到这个工作如何测试它，因为现在如果我验证一次，我总是被授权？是否可以在 REST 服务内以编程方式“注销”或通常如何实现注销？

4. 在 header 中使用 Authorization 和强制性 base64 编码的用户名:密码时，我是否也必须将我的用户名和密码编码到 DB？我试过了，并将编码(允许值为 Hex 和 Base64)添加到 jdbcRealm 到 Glassfish，似乎密码就足够了，但是当两者都在客户端编码时会发生什么？

更新:我更改了 web.xml，现在当直接在浏览器中调用 REST 服务时，BASIC 身份验证可以正常工作:http://localhost:8080/SesameService/users/secured/登录

变化:

• 我在 Glassfish 中启用了安全管理器
• 我更改了 url-pattern

    <servlet-mapping>
        <servlet-name>ServletAdaptor</servlet-name>
        <url-pattern>/*</url-pattern>----> I took webresources off. It was generated by Netbeans
    </servlet-mapping>

• 我将 url 更改为此服务:http://localhost:8080/SesameService/users/secured/login

现在我在尝试从 HTML5 客户端进行身份验证时收到 HTTP/1.1 401 Unauthorized。

请求 header :

Origin: http://localhost:8383
Host:localhost:8080
Connection:keep-alive
Access-Control-Request-Method:GET
Access-Control-Request-Headers:authorization,content-type

响应:

x-powered-by:Servlet/3.0 JSP/2.2 (GlassFish Server Open Source Edition 3.1.2.2 Java/Oracle Corporation/1.7)
WWW-Authenticate:Basic realm="jdbcRealm"
Server:GlassFish Server Open Source Edition 3.1.2.2
Pragma:No-cache
Expires:Thu, 01 Jan 1970 02:00:00 EET
Date:Sat, 13 Apr 2013 15:25:06 GMT
Content-Type:text/html
Content-Length:1073
Cache-Control:no-cache

更新 2

当我尝试使用 JavaScript + Authorization-header 进行身份验证时，我收到 401 错误并且在日志中:

FINE: [Web-Security] Setting Policy Context ID: old = null ctxID = SesameService/SesameService
FINE: [Web-Security] hasUserDataPermission perm: ("javax.security.jacc.WebUserDataPermission" "/users/secured/login" "OPTIONS")
FINE: [Web-Security] hasUserDataPermission isGranted: true---->!!!!!!!!!!!!!
FINE: [Web-Security] Policy Context ID was: SesameService/SesameService
FINE: [Web-Security] Codesource with Web URL: file:/SesameService/SesameService
FINE: [Web-Security] Checking Web Permission with Principals : null------->!!!!!!!
FINE: [Web-Security] Web Permission = ("javax.security.jacc.WebResourcePermission" "/users/secured/login" "OPTIONS")
FINEST: JACC Policy Provider: PolicyWrapper.implies, context (SesameService/SesameService)- result was(false) permission (("javax.security.jacc.WebResourcePermission" "/users/secured/login" "OPTIONS"))
FINE: [Web-Security] hasResource isGranted: false------->!!!!!!!!!
FINE: [Web-Security] hasResource perm: ("javax.security.jacc.WebResourcePermission" "/users/secured/login" "OPTIONS")
FINEST: JACC Policy Provider: PolicyWrapper.getPermissions(cs), context (null) codesource ((null <no signer certificates>)) permissions: java.security.Permissions@5d4de3b0 (

更新 3 我不是第一个也是唯一一个尝试在跨域情况下使用 BASIC 进行身份验证的人。 我像这样更改了我的跨源过滤器:

response.getHttpHeaders().putSingle("Access-Control-Allow-Headers", "Authorization");

不再出现 401 错误，但 JavaScript 中仍然存在错误。在 Glassfish 日志中:

FINEST: JACC Policy Provider:
getPolicy (SesameService/SesameService) is NOT in service----->!!!!!!!!
FINE: JACC Policy Provider: file arrival check type: granted  arrived: false exists: false lastModified: 0 storedTime: 1365968416000 state: deleted SesameService/SesameService
FINE: JACC Policy Provider: file arrival check type: excluded  arrived: false exists: false lastModified: 0 storedTime: 0 state: deleted SesameService/SesameService
FINE: TM: getTransaction: tx=null, tm=null
FINE: TM: componentDestroyedorg.apache.catalina.servlets.DefaultServlet@227fe9a8
FINE: TM: resourceTable before: 0
FINE: TM: resourceTable after: 0

顺便说一句，因为我从来没有得到过这项工作，所以这项工作的方式与直接在其自己的域中调用 REST 服务的方式相同。那么，首先打开客户端请求、服务器请求和用户名密码窗口，然后客户端请求和服务器验证并响应页面？我正在尝试获取它:其中包含 Authorization header 的请求，来自服务器的响应以及来自其余服务的结果，仅此而已。知道如何保护 REST 服务吗？比那容易吗？这是不可能的。

更新 4

我只是试图将我的 HTML5 客户端移动到 java web 项目下，只是纯 html 页面和相同的域，BASIC 身份验证正在 100% 工作。所以原因是因为跨域环境。

最佳答案

If I encrypt (NOT encode) password in client when user is signing up and transfer it under the SSL/HTTPS, is this secure and good way to implement this?

很可能您应该简单地通过 SSL/HTTPS 以纯文本形式传递密码。

SSL/HTTPS 中的所有通信都是加密的，因此最好也加密密码，除非您需要确保网络服务器(从技术上讲是 HTTPS 终止符)看不到密码。

If I use REST-service without client, it is always open, WHY? No BASIC-authentication? Have I understood something wrong with those url-patterns?

不确定我是否理解这个问题。但是，BASIC 身份验证不是用于 REST 身份验证的良好模式，因为它以纯文本形式传递密码。

IF I get this working how to test that, because now if I authenticate once, I am authorised always? Is it possible to "log out" programatically inside the REST-service or in generally how to implement Log out?

在基本身份验证中，用户名和密码由客户端在每个 HTTP 请求中传递。如果客户端未传递凭据，则服务器会拒绝该请求。因此没有会​​话的概念。

但是，就 Java EE 服务器而言，登录会创建一个用户 session ，同一用户的 future 请求将使用同一 session 。如果你这样配置它，这个 session 将超时。

如果注销很重要(即控制用户 session )，那么您必须为此创建一个使 HTTP session 无效的 servlet (/logout)。

标准 Java 安全模型的工作原理如下:当用户登录到安全领域时，Java EE 服务器会在您的浏览器中存储一个安全 cookie。浏览器在对同一领域的每个请求中将此 cookie 发送回 Java EE 服务器。 Java EE 服务器在每个请求中检查此 cookie，并使用它来识别用户，将请求连接到用户的 session 。

所以您可能希望 REST 服务与 Web 应用程序处于相同的安全领域，以便浏览器和服务器无缝工作。

When using Authorization in header with mandatory base64-encoded username:password do I have to encode my username and password to DB as well? I tried that and added Encoding (allowed values are Hex and Base64) to jdbcRealm to Glassfish and it seems that password is enough, but what happens when both are encoded in client?

不，不要对用户名或密码进行编码——这一切都在浏览器和 Glassfish 的深处进行处理。如果在客户端进行编码，客户端将对编码进行编码，服务器将拒绝密码。

Could you tell me if is it possible to use j_security_check from html5-page with javaScript or am I in problems again :) I have made couple of Primefaces + jsf-application where I used FORM-auth and there wasn't any problem, but this has been totally disaster case for me.

假设 RESTful 服务位于相同的域和安全领域，您应该能够使用 j_security_check 轻松地完成这项工作(然后登录到 Web 应用程序将允许浏览器将正确的 cookie 发送到 REST URI)。

但是请注意，其他应用程序将难以访问 REST 服务。基本上，他们必须通过 j_security_check 登录，然后维护 Glassfish 发送的 cookie。如果您确实需要其他应用程序以编程方式访问这些服务，那么您将需要另一种解决方案:

1. 您可以设置安全领域以允许不同的身份 validator “足够”；设置 HTTP BASIC Auth 以及并确保没有标记为“必需”
2. 两次部署 RESTful 服务，另一次是不同的 URI。如果您想使用 HTTP BASIC Auth，这可能是一个 SSL/HTTPS 端点，以确保密码得到安全处理

关于java - REST 应用程序中的基本身份验证，我们在Stack Overflow上找到一个类似的问题： https://stackoverflow.com/questions/15947415/