受JAAS保护的JAX-RS端点

随着RESTFUL（JAX-RS）作为创建Web服务端点的“首选”方式的问世，很长一段时间以来，我一直想知道人们如何围绕它实现安全机制。

归根结底，我假设JAX-RS的基础实现是servlet，因此其安全性也可能围绕容器（即JAAS）已经提供的安全性。

这篇文章将涵盖我在Glassfish 3上如何使用JDBC领域，JAX-RS逐步实现基于FORM的安全性以及如何使用cURL对其进行测试的发现。

设置JDBC领域

首先，由于我们使用的是JDBC领域，所以我们假设我们已经在JNDI jdbc/test下创建了到基础数据库的JDBC连接。

下一步是创建一个新领域。 您可以通过以下方法执行此操作：转到服务器配置>安全性>领域，然后添加一个新领域。 选择领域类型com.sun.enterprise.security.auth.realm.jdbc.JDBCRealm ，然后填充必填字段。

  • 首先给您的新领域起一个名字。
  • 对于JAAS上下文，将jdbcRealm
  • 填充JNDI名称，最好以"jndi/"开头

接下来，请注意其余字段。 Glassfish似乎希望看到两个表。 第一个表包含用户列表，其中用户名是其唯一标识符。 第二张表列出了每个用户所属的组。 用户名是两个表之间的外键链接。 （下一节应该让您更好地了解表格的外观，毕竟它们非常简单）。

一旦创建了这些表，我们就可以相应地填充必填字段。

填充数据库以进行测试

下一步是填充表以进行测试。 假设我们将使用用户名hpotter和password test 。 但是，对于密码，请注意，Glassfish默认情况下的摘要为SHA-256，如以下屏幕截图所示。

sha-256

因此，您需要在插入之前对密码test进行编码。 您可以通过technipixel使用编码器，这将为您提供字符串9f86d081884c7d659a2feaa0c55ad015a3bf4f1b2b0b822cd15d6c15b0f00a08 。

下一步是编写一些INSERT语句： 

INSERT INTO person (id, password, username) VALUES (1, '9f86d081884c7d659a2feaa0c55ad015a3bf4f1b2b0b822cd15d6c15b0f00a08', 'hpotter');
COMMIT;
INSERT INTO person_role (username, user_group) VALUES ('hpotter', 'User');
INSERT INTO person_role (username, user_group) VALUES ('hpotter', 'Admin');
COMMIT;

让我们继续下一步。

使用JAAS保护Web应用程序的安全

关于JAAS的很多使用FORM认证方法的教程。 但是，我想我再把它放在这里，希望有人会发现它更简单。

web.xml

对您的web.xml进行以下修改 

<welcome-file-list><welcome-file>/index.jsp</welcome-file><!-- 1 --></welcome-file-list><security-constraint><!-- 2 --><display-name>TestConstraint</display-name><web-resource-collection><web-resource-name>TestResource</web-resource-name><description/><url-pattern>/*</url-pattern></web-resource-collection><auth-constraint><description/><role-name>User</role-name><role-name>Admin</role-name></auth-constraint></security-constraint><login-config><!-- 3 --><auth-method>FORM</auth-method><realm-name>testRealm</realm-name><form-login-config><form-login-page>/login.html</form-login-page><form-error-page>/error.html</form-error-page></form-login-config></login-config><security-role><!-- 4 --><description/><role-name>User</role-name></security-role><security-role><!-- 5 --><description/><role-name>Admin</role-name></security-role>

让我们一一讲解它们。

  1. 这是成功登录后将显示的文件。 您也可以将此文件用作重定向。 例如，假设您有一个名为index.xhtml的文件（一个JSF页面），则可以使用response.sendRedirect("index.jsf");
  2. 这是实际的约束，即如何保护应用程序。 该部分基本上可以保护所有对应用程序的访问，以/* url模式表示，并且仅允许以User和Admin角色访问用户。
  3. 这部分表示我们正在使用的是FORM身份验证方法（我将在下一节中对其进行详细说明）。 重要的部分是确保所使用的安全领域的名称正确，在这种情况下，该名称为testRealm ，即与我们通过Glassfish管理页面进行设置时提供的相同领域名称。 另一部分是设置包含j_security_check的页面，如果尚未验证请求访问权限，则应用程序将自动重定向到该页面。
  4. 已知角色
  5. 与上一节相同。

glassfish-web.xml

我们还需要配置glassfish-web.xml以便容器知道数据库中组之间的映射以及应用程序识别的角色。 

<?xml version="1.0" encoding="UTF-8"?>
<!DOCTYPE glassfish-web-app PUBLIC "-//GlassFish.org//DTD GlassFish Application Server 3.1 Servlet 3.0//EN" "http://glassfish.org/dtds/glassfish-web-app_3_0-1.dtd">
<glassfish-web-app error-url=""><security-role-mapping><role-name>Admin</role-name><group-name>Admin</group-name></security-role-mapping><security-role-mapping><role-name>User</role-name><group-name>User</group-name></security-role-mapping><class-loader delegate="true"/><jsp-config><property name="keepgenerated" value="true"><description>Keep a copy of the generated servlet class' java code.</description></property></jsp-config>
</glassfish-web-app>

注意：如果您使用Netbeans，则可能会为您生成此文件。

登录页面：login.html

如果我们再次参考上面的web.xml ，请注意登录页面指向login.html 。 对于FORM身份验证方法，按照规范，我们需要使用j_security_check ， j_username和j_password （Oracle 2013）。 

<!DOCTYPE html>
<html><body><form action="j_security_check" method="post"><p><strong>Username</strong><input type="text" name="j_username" size="25" /></p><p><strong>Password</strong><input type="password" size="15" name="j_password" /></p><p><input type="submit" value="Submit" /><input type="reset" value="Reset" /></p></form></body>
</html>

完成所有这些操作后，我们可以启动Glassfish，部署我们的应用程序并使用任何浏览器对其进行测试。 访问该应用程序后，应将用户定向到login.html进行登录。 请记住使用hpotter作为用户名并test作为密码。 成功登录后，应将用户重定向到index.jsp （根据您的要求，该重定向又将用户重定向到index.jsf或index.jsp重定向到的任何内容）。

创建一个RESTFUL端点

当然，下一步是创建一个RESTFUL端点，这非常简单。 我在这里写的一篇文章可能也很有用。

首先，假设我们具有以下应用程序路径。 

package com.dwuysan;import javax.ws.rs.ApplicationPath;
import javax.ws.rs.core.Application;/*** @author denywuy*/
@ApplicationPath(value = "resources")
public class ApplicationConfig extends Application {
}

让我们假设我们具有以下简单的RESTFUL服务。 

package com.dwuysan;import com.dwuysan.entity.Outlet;
import com.dwuysan.service.OutletService;
import javax.annotation.ManagedBean;
import javax.annotation.security.RolesAllowed;
import javax.inject.Inject;
import javax.ws.rs.GET;
import javax.ws.rs.Path;
import javax.ws.rs.PathParam;@Path(value = "generic")
@RolesAllowed(value = "User")
@ManagedBean
public class GenericResource {@Injectprivate OutletService outletService;@GET@Path("{id}")public Outlet get(@PathParam(value = "id") final long id) {return this.outletService.getOutlet(id);}
}

请注意，我们已使用javax.annotation.security.RolesAllowed批注保护了此服务的安全。

使用curl测试安全的RESTFUL服务

鉴于我们在上面创建的RESTFUL服务，我们应该能够使用CURL通过以下命令对其进行测试： 

curl -X GET -H "Accept:application/json" -H "Content-Type:application/json" http://localhost:8080/testApp/resources/generic/101

上面的命令翻译为以下内容：使用GET命中上面的URL，标题为Accept：application / json和Content-Type：application / json（cURL 2013）

由于我们已经保护了我们的应用程序，因此上述调用将无法进行。 用户将被重定向到login.html 。 因此，我们现在的目标是首先登录。 使用cURL，我们可以提交登录参数（即用户名和密码），然后获取cookie。 为此，我们可以使用以下命令： 

curl -b cookies.txt -c cookies.txt -d "j_username=hpotter&j_password=test" http://localhost:8080/testApp/j_security_check

该命令将用户名和密码提交给j_security_check （记住我们之前创建的login.html ），并将获得的cookie存储在cookies.txt文件cookies.txt 。

如果打开cookies.txt，则可能会看到以下内容： 

# Netscape HTTP Cookie File
# http://curl.haxx.se/docs/http-cookies.html
# This file was generated by libcurl! Edit at your own risk.#HttpOnly_localhost     FALSE   /testApp     FALSE   0       JSESSIONID      245a317ab91fbb28244403346770

注意：您可能会收到“文件移动”响应。 这意味着登录已成功。 否则，您将再次获得error.html的原始html。

成功通过身份验证后，我们可以使用从登录名获得的cookie来调用RESTFUL服务。 

curl -X GET -H "Accept:application/json" -H "Content-Type:application/json" -b cookies.txt -c cookies.txt http://localhost:8080/testApp/resources/generic/101

参考文献：

  • BalusC，2012年， ``基于JSF支持表单的安全性吗'' ，2013年2月12日访问。
  • Oracle，2013年， “保护Web应用程序” ，2013年2月12日访问。
  • Wolff，N，2005年， “如何使用带有CURL的cookie处理身份验证？” ，2013年2月12日访问。

参考：在dwuysan博客博客中，由我们的JCG合作伙伴 Deny Wuysan提供了JAAS保护的JAX-RS端点 。

翻译自: https://www.javacodegeeks.com/2013/09/jaas-secured-jax-rs-end-point.html

本文来自互联网用户投稿，该文观点仅代表作者本人，不代表本站立场。本站仅提供信息存储空间服务，不拥有所有权，不承担相关法律责任。如若转载，请注明出处：http://www.mzph.cn/news/367448.shtml

如若内容造成侵权/违法违规/事实不符，请联系多彩编程网进行投诉反馈email:809451989@qq.com，一经查实，立即删除！

相关文章

es springboot 不设置id_springboot整合ES_文档ID删除

es springboot 不设置id_springboot整合ES_文档ID删除

1.本课程涵盖**SpringBoot2.x版本10个常用技术点适应企业开发要求&#xff0c;学习IDEA开发工具下的SpringBoot2.x开发学习SpringBoot2.x - 基于Restful接口开发规范学习SpringBoot2.x - 官方推荐模版引擎 - Thymeleaf开发学习SpringBoot2.x - MockMVC测试学习SpringBoot2.x - …
阅读更多...
前端必须懂的计算机网络知识—(跨域、代理、本地存储)

前端必须懂的计算机网络知识—(跨域、代理、本地存储)

前端必须懂的计算机网络知识系列文章&#xff1a; DNS服务器和跨域问题计算机网络的分层模型IP地址和MAC地址前端必须懂的计算机网络知识—(跨域、代理、本地存储)前端必须懂的计算机网络知识—(TCP)前端必须懂的计算机网络知识—(HTTP)前端必须懂的计算机网络知识—(XSS、CSR…
阅读更多...
axios请求报Uncaught (in promise) Error: Request failed with status code 404

axios请求报Uncaught (in promise) Error: Request failed with status code 404

使用axios处理请求时&#xff0c;出现的问题解决 当url是远程接口链接时&#xff0c;会报404的错误&#xff1a; Uncaught (in promise) Error: Request failed with status code 404 解决方法&#xff1a; var instance axios.create({ headers: {content-type: application/…
阅读更多...
php canvas 前端JS压缩，获取图片二进制流数据并上传

php canvas 前端JS压缩，获取图片二进制流数据并上传

<?php if(isset($_GET[upload]) && $_GET[upload] img){//二进制数据流$data file_get_contents ( php://input ); // 不需要php.ini设置&#xff0c;内存压力小if(empty($data)){$data gzuncompress ( $GLOBALS [HTTP_RAW_POST_DATA] ); // 需要php.ini设…
阅读更多...
如何给linux目录加密码,怎么只给一个文件夹的内容加密？

如何给linux目录加密码,怎么只给一个文件夹的内容加密？

该楼层疑似违规已被系统折叠 隐藏此楼查看此楼Encfs security information ││ ││ According to a security audit by Taylor Hornby (Defuse Security), the ││ current implementation of Encfs is vulnerable or potentially vulnerable ││ to multiple types of att…
阅读更多...
cordova监听事件中调用其他方法_Laravel模型事件的实现原理详解

cordova监听事件中调用其他方法_Laravel模型事件的实现原理详解

模型事件在 Laravel 的世界中&#xff0c;你对 Eloquent 大多数操作都会或多或少的触发一些模型事件&#xff0c;下面这篇文章主要给大家介绍了关于Laravel模型事件的实现原理&#xff0c;文中通过示例代码介绍的非常详细&#xff0c;需要的朋友可以参考借鉴。前言Laravel的ORM…
阅读更多...
MongoDB和Web应用程序

MongoDB和Web应用程序

当今时代是数据大规模增长的时代。 数据存储不是问题&#xff0c;是的&#xff0c;但是结构化和存储的方式可能会增加或减少所需数据块的查找时间。 不断增长的非结构化数据的用例 脸书&#xff1a; 7.5亿用户处于活跃状态&#xff0c;三分之一的互联网用户拥有Facebook帐户 …
阅读更多...
【译】10个有趣的JSCSS库（2018.10）

【译】10个有趣的JSCSS库（2018.10）

Tutorialzine每月都会给我们精心挑选优秀的web开发资源&#xff0c;这些资源可以帮助我们解锁最新和最炫酷的网络开发姿势。前端er,让我们一起先睹为快吧&#xff01; WatermelonDB WatermelonDB是用于构建React和React Native应用程序的下一代数据库。快速&#xff0c;高度可…
阅读更多...
自定义分页器

自定义分页器

好久没来写东西那&#xff01;今天写个自定义分页器给大家参考下吧 首先我们在自己创建的Django项目的app下新建一个utils文件夹&#xff0c;用来放我们的分页器组件 简单说下分页器实现原理&#xff1a; 1.利用ORM查询语句的限制数据条数来确定每页显示的数据 2.设置我们每页显…
阅读更多...
五 Vue学习 首页学习 (上）

五 Vue学习 首页学习 (上）

首页&#xff1a; http://localhost:8002/#/&#xff0c; 登录页面如下&#xff1a; index.js文件中如下的路由配置&#xff0c;转过去看login.vue是如何实现的。 const routes [ { path: /, component: login },&#xff08;这里一个问题&#xff1a; logi…
阅读更多...
linux下mqm添加用户,Linux 下MQ的安装和配置亲测

linux下mqm添加用户,Linux 下MQ的安装和配置亲测

开篇之前奉上几条黄金链接&#xff1a;MQ参考文档http://publib.boulder.ibm.com/infocenter/wmqv7/v7r0m0/index.jsp?topic%2Fcom.ibm.mq.doc%2Fhelp_home_wmq.htmhttp://www-01.ibm.com/support/docview.wss?uidswg27006467MQ下载地址&#xff1a;http://www-03.ibm.com/so…
阅读更多...
Java核心面试问题

Java核心面试问题

问&#xff1a;如果main方法被声明为私有该怎么办&#xff1f; 回答&#xff1a; 该程序可以正确编译&#xff0c;但在运行时会显示“ Main方法不公开”。 信息。 问&#xff1a;在Java中按引用传递和按值传递是什么意思&#xff1f; 回答&#xff1a; 通过引用方式传递&…
阅读更多...
android 判断是否是标点符号_Java 中文字符判断 中文标点符号判断

android 判断是否是标点符号_Java 中文字符判断 中文标点符号判断

Java Character 实现Unicode字符集介绍 CJK中文字符和中文标点判断主要内容&#xff1a;1. Java Character类介绍&#xff1b;2. Unicode 简介及 UnicodeBlock 与 UnicodeScript区别和联系3. 如何判断汉字及中文标点符号做中文信息处理&#xff0c;经常会遇到如何判断一个字是…
阅读更多...
小程序tabbar这套方案全搞定！

小程序tabbar这套方案全搞定！

关于微信小程序的tarbar&#xff0c;相信你们都不会陌生 在实现小程序微信原装的tabbar却比较呆板&#xff0c;不够精致&#xff0c;往往不符合自己的要求 这个时候怎么办呢 这套方案接着&#xff01; 先简单的来说一下主要思想:自定义字体图标组件以及tabbar组件&#xff0c…
阅读更多...
linux服务器用哪个面板好,Linux服务器管理面板哪家比较好用？

linux服务器用哪个面板好,Linux服务器管理面板哪家比较好用？

Linux服务器管理面板哪家比较好用&#xff1f;发布时间&#xff1a;2020-07-21 06:08:33来源&#xff1a;51CTO阅读&#xff1a;261作者&#xff1a;BirdCloud_1022现在&#xff0c;越来越多的站长朋友都会选择服务器用来搭建网站&#xff0c;但是势必需要我们自己搭建WEB环境&…
阅读更多...
spring boot(一)入门

spring boot(一)入门

目录 spring boot(一)入门一、简介1、微服务的概念2、什么是spring boot3、快速入门4.springboot的快捷部署spring boot(一)入门 一、简介 1、微服务的概念 说起spring boot&#xff0c;我们不得不说一下“微服务”一词的兴起&#xff0c;微服务一词最早起源于2014年&#xff0…
阅读更多...
使用Couchbase分页

使用Couchbase分页

如果对Couchbase集群进行查询时必须处理大量文档&#xff0c;则使用分页来逐页获取行很重要。 您可以在“ 分页 ”一章的文档中找到一些信息&#xff0c;但是我想在本文中提供更多详细信息和示例代码。 在此示例中&#xff0c;我将基于啤酒样本数据集创建一个简单的视图&#…
阅读更多...
android 常用机型尺寸_不同手机/设备和操作系统版本上的Android堆大小

android 常用机型尺寸_不同手机/设备和操作系统版本上的Android堆大小

素胚勾勒不出你不仅手机生产商&#xff0c;而且任何创建Android操作系统版本的人&#xff0c;都可以根据设备的特定需求&#xff0c;指定允许的最大堆大小。一些Android根&#xff0c;如CyanogenMod&#xff0c;甚至允许用户自己选择堆大小作为设置。可以使用该方法检测允许的最…
阅读更多...
vue移动端项目缓存问题实践

vue移动端项目缓存问题实践

最近在做一个vue移动端项目&#xff0c;被缓存问题搞得头都大了&#xff0c;积累了一些经验&#xff0c;特此记录总结下&#xff0c;权当是最近项目问题的一个回顾吧&#xff01; 先描述下问题场景&#xff1a;A页面->B页面->C页面。假设A页面是列表页面&#xff0c;B页…
阅读更多...
pdf解析与结构化提取

pdf解析与结构化提取

PDF解析与结构化提取 PDF解析 对于PDF文档&#xff0c;我们选择用PDFMiner对其进行解析&#xff0c;得到文本。 PDFMiner PDFMiner使用了一种称作lazy parsing的策略&#xff0c;只在需要的时候才去解析&#xff0c;以减少时间和内存的使用。要解析PDF至少需要两个类&#xff1…
阅读更多...
最新文章

Copyright @ 2022~2023