Существует ли независимый от сервера способ реализации BASIC-аутентификации? - PullRequest
Новая
       22

Существует ли независимый от сервера способ реализации BASIC-аутентификации?

6 голосов
/ 15 июня 2011

Я пытаюсь добавить BASIC-аутентификацию в мой веб-сервис RESTful.В настоящее время у меня есть BASIC-аутентификация для сервера Apache Tomcat 6.0, но мне нужно развернуть свой веб-сервис на сервере приложений WebSphere ver.6.1, и у меня возникают проблемы с запуском проверки подлинности BASIC в WebSphere.

Есть ли способ в Java для проверки заголовков проверки подлинности HTTP-запроса, и если предоставленные имя пользователя / пароль (в кодировке Base64) не 'не соответствует известной учетной записи, заставить пользователя ввести новое имя пользователя / пароль?

Я пытался внедрить Spring Security, но, поскольку мой проект был выполнен полностью без Spring, было очень трудно получить его.работать, и я пытаюсь найти простое решение моей довольно простой проблемы.

Технологии, которые я использую в настоящее время, включают в себя: Java, Jersey / JAX-RS, Eclipse с плагином Maven.

Ответы [ 2 ]

9 голосов
/ 15 июня 2011

Вы должны иметь возможность установить фильтр сервлетов , который выполняется до того, как ваши обработчики REST проверяют заголовок запроса «Авторизация», base 64 декодирует его, извлекает имя пользователя и парольи проверяет.Примерно так: 

public void doFilter(ServletRequest req,
                     ServletResponse res,
                     FilterChain chain) {
  if (request instanceof HttpServletRequest) {
    HttpServletRequest request = (HttpServletRequest) req;
    String authHeader = Base64.decode(request.getHeader("Authorization"));
    String creds[] = authHeader.split(":");
    String username = creds[0], password = creds[1];
    // Verify the credentials here...
    if (authorized) {
      chain.doFilter(req, res, chain);
    } else {
      // Respond 401 Authorization Required.
    }
  }
  doFilter(req, res, chain);
}

Все контейнеры сервлетов имеют стандартный способ настройки цепочек фильтров.

4 голосов
/ 15 июня 2013

Полная реализация на основе ответа maerics. 

import java.io.IOException;

import javax.servlet.Filter;
import javax.servlet.FilterChain;
import javax.servlet.FilterConfig;
import javax.servlet.ServletException;
import javax.servlet.ServletRequest;
import javax.servlet.ServletResponse;
import javax.servlet.http.HttpServletRequest;
import javax.servlet.http.HttpServletResponse;

import org.apache.commons.lang.StringUtils;

import sun.misc.BASE64Decoder;

public class AuthenticationFilter implements Filter {

    private static final String AUTHORIZATION_HEADER_NAME = "Authorization";
    private static final String WWW_AUTHENTICATE_HEADER_NAME = "WWW-Authenticate";
    private static final String WWW_AUTHENTICATE_HEADER_VALUE = "Basic realm=\"Default realm\"";
    private static final String BASIC_AUTHENTICATION_REGEX = "Basic\\s";
    private static final String EMPTY_STRING = "";
    private static final String USERNAME_PASSWORD_SEPARATOR = ":";
    private static final BASE64Decoder DECODER = new BASE64Decoder();

    public void init(FilterConfig arg0) throws ServletException {
    }

    public void doFilter(ServletRequest req, ServletResponse res, FilterChain chain) throws IOException, ServletException {

        HttpServletRequest httpReq = (HttpServletRequest) req;
        HttpServletResponse httpRes = (HttpServletResponse) res;

        String authHeader = httpReq.getHeader(AUTHORIZATION_HEADER_NAME);

        if (authHeader == null) {
            this.requestAuthentication(httpRes);
            return;
        }

        authHeader = authHeader.replaceFirst(BASIC_AUTHENTICATION_REGEX, EMPTY_STRING);
        authHeader = new String(DECODER.decodeBuffer(authHeader));      

        if (StringUtils.countMatches(authHeader, USERNAME_PASSWORD_SEPARATOR) != 1) {
            this.requestAuthentication(httpRes);
            return;         
        }

        String[] creds = authHeader.split(USERNAME_PASSWORD_SEPARATOR);
        String username = creds[0];
        String password = creds[1];         

        //TODO: implement this method
        if (!authenticatedUser(username, password)) {
            this.requestAuthentication(httpRes);
            return;
        }

         chain.doFilter(req, res);
    }

    private void requestAuthentication(HttpServletResponse httpRes) {

        httpRes.setHeader(WWW_AUTHENTICATE_HEADER_NAME, WWW_AUTHENTICATE_HEADER_VALUE);
        httpRes.setStatus(HttpServletResponse.SC_UNAUTHORIZED);
    }

    public void destroy() {
    }
}
...