Я успешно создал веб-сервис REST с Джерси и защитил его с помощью аннотаций безопасности Java.
Это выглядит примерно так
GET /users/ // gives me all users
GET /users/{id} // gives the user identified by {id}
POST /users/ // creates user
PUT /users/{id} // updates user identified by {id}
DELETE /users/{id} // delete user
Я также настроил область с двумя ролями: пользователь и администратор
Я закрепил все методы, чтобы только администраторы могли получить к ним доступ.
Теперь я хочу бесплатно предоставить методы PUT /users/{id} и GET /users/{id}, чтобы пользователи могли получить доступ к своим собственным и только своим собственным ресурсам.
Пример:
// user anna is logged in and uses the following methods
GET /users/anna // returns 200 OK
GET /users/pete // returns 401 UNAUTHORIZED
Так как я не смог найти способ настроить это с помощью аннотаций, я думаю передать HTTP-запрос соответствующему методу, чтобы проверить, разрешен ли пользователю доступ к ресурсу.
Для метода GET /users/{id} это будет выглядеть примерно так:
@GET
@Path("/users/{id}")
@RolesAllowed({"admin","user"})
@Produces(MediaType.APPLICATION_JSON)
public Response getUser(
@PathParam("id") String id,
@Context HttpServletRequest req
) {
HttpSession session = request.getSession(false);
if (session != null && session.getValue("userID").equals(id))
return getObject(User.class, id);
return Response.status(Status.UNAUTHORIZED).build();
}
Мне не нравится этот подход, потому что я думаю, что мне нужно было бы добавить userID руководство к сессии.
Знаете ли вы более элегантный способ решить эту проблему?
Если нет, то как добавить идентификатор пользователя в сеанс при использовании проверки подлинности формы?
EDIT
Спасибо, Уилл и Павел :) Вот мое окончательное решение:
@Context
private SecurityContext security;
// ...
@GET
@Path("/users/{id}")
@RolesAllowed({"admin","user"})
@Produces(MediaType.APPLICATION_JSON)
public Response getUser(@PathParam("id") String id){
if (security.isUserInRole("user"))
if (security.getUserPrincipal().getName().equals(id))
return getObject(User.class, id);
else
return Response.status(Status.UNAUTHORIZED).build();
else
return getObject(User.class, id);
}