Разработка связанного запроса для реализации Restful-приложения в Spring 3

Question

У меня уже есть приложение, реализованное в Spring MVC 3.0.Теперь я хочу преобразовать это приложение в спокойное приложение таким образом, чтобы бизнес-логика оставалась в одном приложении, а веб-слой оставался в другом приложении.

Теперь, чтобы добиться этого с помощью Rest, мой веб-слой будет действовать как клиент отдыха, который будет получать доступ к службам, предоставляемым приложением, связанным с реализацией бизнес-логики.

Точка, в которой я запутался, заключается в том, каквнедрить для этого логин.

Должен ли я отправлять учетные данные для входа из веб-приложения в приложение-службу в запросе на пост отдыха, а затем поддерживать идентификатор, который будет действовать как jsessionid, разрешающий мои дальнейшие запросы

Или я должен аутентифицировать и авторизовать каждый запрос

Или существует ли какой-либо шаблон проектирования, уже предложенный Spring для достижения такого рода требований.

Может ли кто-нибудь, кто знает об этом, помочь мне.

Answer 1

У вас должна быть авторизация как на веб-слое REST, так и на веб-слое «обычный» / клиент.Самый простой способ подумать об этом - игнорировать тот факт, что в текущей ситуации вы будете писать как клиентскую, так и сервисную стороны REST API.Вместо этого следует учитывать, что клиентские подключения исходят из внешнего источника.

Это должно прояснить, что службе REST необходимо аутентифицировать все запросы.Как правило, вы аутентифицируете каждый запрос отдельно с помощью HTTP Basic Auth;если данные являются конфиденциальными или учетные данные должны быть защищены по какой-либо другой причине, вы можете использовать SSL.Откуда вы получаете эти учетные данные, вероятно, зависит от приложения.

Это распространенный шаблон для использования ключа API некоторого вида, когда клиент аутентифицирует себя с помощью ключа, но пользователи клиента не известны API индивидуально.Вы также можете реализовать своего рода сквозную аутентификацию, когда учетные данные пользователя клиента отправляются с каждым запросом к API, если ваш API знает что-то об этих пользователях.В этом случае ваши пользователи могут либо использовать клиент (ваше уже реализованное веб-приложение), либо напрямую использовать API.