jaas_受JAAS保护的JAX-RS端点

jaas

随着RESTFUL（JAX-RS）作为创建Web服务端点的“首选”方式的问世，很长一段时间以来，我一直想知道人们如何围绕它实现安全机制。

归根结底，我假设JAX-RS的基础实现是servlet，因此其安全性也可能围绕容器（即JAAS）已经提供的安全性。

这篇文章将涵盖我在Glassfish 3上如何使用JDBC领域，JAX-RS逐步实现基于FORM的安全性以及如何使用cURL对其进行测试的发现。

设置JDBC领域

首先，因为我们使用的是JDBC领域，所以我们假设我们已经在JNDI jdbc/test下创建了到基础数据库的JDBC连接。

下一步是创建一个新领域。 您可以通过以下方法执行此操作：转到服务器配置>安全性>领域，然后添加一个新领域。 选择领域类型com.sun.enterprise.security.auth.realm.jdbc.JDBCRealm ，然后填充必填字段。

  • 首先给您的新领域起一个名字。
  • 对于JAAS Context，将jdbcRealm
  • 填充JNDI名称，最好以"jndi/"开头

接下来，请注意其余字段。 Glassfish似乎希望看到两个表。 第一个表包含用户列表，其中用户名是其唯一标识符。 第二张表列出了每个用户所属的组。 用户名是两个表之间的外键链接。 （下一节应该让您更好地了解表格的外观，毕竟它们非常简单）。

一旦创建了这些表，我们就可以相应地填充必填字段。

填充数据库以进行测试

下一步是填充表以进行测试。 假设我们将使用用户名hpotter和password test 。 但是，对于密码，请注意，Glassfish的摘要默认情况下为SHA-256，如以下屏幕截图所示。

sha-256

因此，您需要在插入之前对密码test进行编码。 您可以使用technipixel编码器，这将为您提供字符串9f86d081884c7d659a2feaa0c55ad015a3bf4f1b2b0b822cd15d6c15b0f00a08 。

下一步是编写一些INSERT语句： 

INSERT INTO person (id, password, username) VALUES (1, '9f86d081884c7d659a2feaa0c55ad015a3bf4f1b2b0b822cd15d6c15b0f00a08', 'hpotter');
COMMIT;
INSERT INTO person_role (username, user_group) VALUES ('hpotter', 'User');
INSERT INTO person_role (username, user_group) VALUES ('hpotter', 'Admin');
COMMIT;

让我们继续下一步。

使用JAAS保护Web应用程序的安全

关于JAAS的很多使用FORM认证方法的教程。 但是，我想我再把它放在这里，希望有人会发现它更简单。

web.xml

对您的web.xml进行以下修改 

<welcome-file-list><welcome-file>/index.jsp</welcome-file><!-- 1 --></welcome-file-list><security-constraint><!-- 2 --><display-name>TestConstraint</display-name><web-resource-collection><web-resource-name>TestResource</web-resource-name><description/><url-pattern>/*</url-pattern></web-resource-collection><auth-constraint><description/><role-name>User</role-name><role-name>Admin</role-name></auth-constraint></security-constraint><login-config><!-- 3 --><auth-method>FORM</auth-method><realm-name>testRealm</realm-name><form-login-config><form-login-page>/login.html</form-login-page><form-error-page>/error.html</form-error-page></form-login-config></login-config><security-role><!-- 4 --><description/><role-name>User</role-name></security-role><security-role><!-- 5 --><description/><role-name>Admin</role-name></security-role>

让我们一一讲解它们。

  1. 这是成功登录后将显示的文件。 您也可以将此文件用作重定向。 例如，假设您有一个名为index.xhtml的文件（一个JSF页面），则可以使用response.sendRedirect("index.jsf");
  2. 这是实际的约束，即如何保护应用程序。 此部分基本上可以保护所有对应用程序的访问，以/* url模式表示，并且仅允许以User和Admin角色访问用户。
  3. 这部分表示我们正在使用的是FORM身份验证方法（我将在下一部分中对其进行详细说明）。 重要的部分是确保使用的安全领域的名称正确，在这种情况下，该名称为testRealm ，即与我们通过Glassfish管理页面进行设置时提供的相同领域名称。 另一部分是设置包含j_security_check的页面，如果尚未验证请求访问权限，则应用程序将自动重定向到该页面。
  4. 已知角色
  5. 与上一节相同。

glassfish-web.xml

我们还需要配置glassfish-web.xml以便容器知道数据库中组之间的映射以及应用程序识别的角色。 

<?xml version="1.0" encoding="UTF-8"?>
<!DOCTYPE glassfish-web-app PUBLIC "-//GlassFish.org//DTD GlassFish Application Server 3.1 Servlet 3.0//EN" "http://glassfish.org/dtds/glassfish-web-app_3_0-1.dtd">
<glassfish-web-app error-url=""><security-role-mapping><role-name>Admin</role-name><group-name>Admin</group-name></security-role-mapping><security-role-mapping><role-name>User</role-name><group-name>User</group-name></security-role-mapping><class-loader delegate="true"/><jsp-config><property name="keepgenerated" value="true"><description>Keep a copy of the generated servlet class' java code.</description></property></jsp-config>
</glassfish-web-app>

注意：如果您使用Netbeans，则可能会为您生成此文件。

登录页面：login.html

如果我们再次参考上面的web.xml ，请注意登录页面指向login.html 。 对于FORM身份验证方法，根据规范，我们需要使用j_security_check ， j_username和j_password （Oracle 2013）。 

<!DOCTYPE html>
<html><body><form action="j_security_check" method="post"><p><strong>Username</strong><input type="text" name="j_username" size="25" /></p><p><strong>Password</strong><input type="password" size="15" name="j_password" /></p><p><input type="submit" value="Submit" /><input type="reset" value="Reset" /></p></form></body>
</html>

完成所有这些操作后，我们可以启动Glassfish，部署我们的应用程序并使用任何浏览器对其进行测试。 访问该应用程序后，应将用户定向到login.html进行登录。 请记住使用hpotter作为用户名并test作为密码。 成功登录后，应将用户重定向到index.jsp （根据您的要求，该重定向又将用户重定向到index.jsf或index.jsp重定向到的任何内容）。

创建一个RESTFUL端点

当然，下一步是创建一个RESTFUL端点，这非常简单。 我在这里写的一篇文章可能也很有用。

首先，假设我们具有以下应用程序路径。 

package com.dwuysan;import javax.ws.rs.ApplicationPath;
import javax.ws.rs.core.Application;/*** @author denywuy*/
@ApplicationPath(value = "resources")
public class ApplicationConfig extends Application {
}

让我们假设我们具有以下简单的RESTFUL服务。 

package com.dwuysan;import com.dwuysan.entity.Outlet;
import com.dwuysan.service.OutletService;
import javax.annotation.ManagedBean;
import javax.annotation.security.RolesAllowed;
import javax.inject.Inject;
import javax.ws.rs.GET;
import javax.ws.rs.Path;
import javax.ws.rs.PathParam;@Path(value = "generic")
@RolesAllowed(value = "User")
@ManagedBean
public class GenericResource {@Injectprivate OutletService outletService;@GET@Path("{id}")public Outlet get(@PathParam(value = "id") final long id) {return this.outletService.getOutlet(id);}
}

请注意，我们已使用javax.annotation.security.RolesAllowed批注保护了此服务的安全。

使用curl测试安全的RESTFUL服务

鉴于我们上面创建的RESTFUL服务，我们应该能够使用CURL通过以下命令对其进行测试： 

curl -X GET -H "Accept:application/json" -H "Content-Type:application/json" http://localhost:8080/testApp/resources/generic/101

上面的命令翻译为以下内容：使用GET命中上面的URL，标题为Accept：application / json和Content-Type：application / json（cURL 2013）

由于我们已经保护了我们的应用程序，因此上述调用将无法进行。 用户将被重定向到login.html 。 因此，我们现在的目标是首先登录。 使用cURL，我们可以提交登录参数（即用户名和密码），然后获取cookie。 为此，我们可以使用以下命令： 

curl -b cookies.txt -c cookies.txt -d "j_username=hpotter&j_password=test" http://localhost:8080/testApp/j_security_check

该命令将用户名和密码提交给j_security_check （记住我们之前创建的login.html ），并将获得的cookie存储在cookies.txt文件cookies.txt 。

如果打开cookies.txt，则可能会看到以下内容： 

# Netscape HTTP Cookie File
# http://curl.haxx.se/docs/http-cookies.html
# This file was generated by libcurl! Edit at your own risk.#HttpOnly_localhost     FALSE   /testApp     FALSE   0       JSESSIONID      245a317ab91fbb28244403346770

注意：您可能会收到“文件移动”响应。 这意味着登录已成功。 否则，您将再次获得error.html的原始html。

成功通过身份验证后，我们可以使用从登录名获得的cookie来调用RESTFUL服务。 

curl -X GET -H "Accept:application/json" -H "Content-Type:application/json" -b cookies.txt -c cookies.txt http://localhost:8080/testApp/resources/generic/101

参考文献：

  • BalusC，2012年， ``是否基于JSF支持表单的安全性'' ，2013年2月12日访问。
  • Oracle，2013年， “保护Web应用程序的安全” ，2013年2月12日访问。
  • Wolff，N，2005年， “如何使用带有CURL的cookie处理身份验证？” ，2013年2月12日访问。

参考：在dwuysan博客博客中，由我们的JCG合作伙伴 Deny Wuysan提供了JAAS保护的JAX-RS端点 。

翻译自: https://www.javacodegeeks.com/2013/09/jaas-secured-jax-rs-end-point.html

jaas

本文来自互联网用户投稿，该文观点仅代表作者本人，不代表本站立场。本站仅提供信息存储空间服务，不拥有所有权，不承担相关法律责任。如若转载，请注明出处：http://www.mzph.cn/news/347662.shtml

如若内容造成侵权/违法违规/事实不符，请联系多彩编程网进行投诉反馈email:809451989@qq.com，一经查实，立即删除！

相关文章

Java多线程（1）--基本概念：程序、进程、线程

Java多线程（1）--基本概念：程序、进程、线程

程序(program)是为完成特定任务、用某种语言编写的一组指令的集合。即指一段静态的代码&#xff0c;静态对象。 进程(process)是程序的一次执行过程&#xff0c;或是正在运行的一个程序&#xff0c;是一个动态的过程&#xff1a;有它自身的产生、存在和消亡的过程。——生命周…
阅读更多...
Java中的Volatile如何工作？ Java中的volatile关键字示例

Java中的Volatile如何工作？ Java中的volatile关键字示例

如何在Java中使用Volatile关键字 在Java采访中&#xff0c;什么是volatile变量以及何时在Java中使用volatile变量是Java 采访中一个著名的多线程采访问题 。 尽管许多程序员都知道什么是volatile变量&#xff0c;但是他们在第二部分上失败了&#xff0c;即在Java中何处使用vol…
阅读更多...
Java线程的调度及线程的优先级

Java线程的调度及线程的优先级

调度策略 Java的调度方法 同优先级线程组成先进先出队列&#xff08;先到先服务&#xff09;&#xff0c;使用时间片策略。 对高优先级&#xff0c;使用优先调度的抢占式策略。 线程的优先级等级 Thread.MAX_PRIORITY&#xff1a;10 Thread.MIN _PRIORITY&#xff1a;1 Threa…
阅读更多...
Spring Boot 2应用程序和OAuth 2 –传统方法

Spring Boot 2应用程序和OAuth 2 –传统方法

这篇文章是3个系列文章中的第二部分&#xff0c;探讨了如何为基于Spring Boot 2的应用程序启用OSO2提供程序SSO。 3个帖子是&#xff1a; 1. 引导兼容OpenID Connect的OAuth2授权服务器/ OpenID提供程序的方法 2.与OAuth2授权服务器/ OpenID提供程序集成的旧版Spring Boot / …
阅读更多...
Java多线程（2）--Thread类继承和Runnable接口创建线程

Java多线程（2）--Thread类继承和Runnable接口创建线程

Java语言的JVM允许程序运行多个线程&#xff0c;它通过java.lang.Thread类来体现。 Thread类的特性 每个线程都是通过某个特定Thread对象的run()方法来完成操作的&#xff0c;经常把run()方法的主体称为线程体&#xff0c;通过该Thread对象的start()方法来启动这个线程&#x…
阅读更多...
matlab在电磁场与电磁波中的应用,matlab在电磁场与电磁波学习中的应用.docx

matlab在电磁场与电磁波中的应用,matlab在电磁场与电磁波学习中的应用.docx

matlab在电磁场与电磁波学习中的应用.docx MATLAB在电磁场与电磁波学习中的应用裴逸菲(燕京理工学院信息科学与技术学院&#xff0c;河北廊坊065201)摘要针对电磁场与电磁波在大学课程中的理论性强、概念抽象的特点&#xff0c;在学习中引入MATLAB软件&#xff0c;利用MATLAB的…
阅读更多...
Java多线程（3）--线程的生命周期

Java多线程（3）--线程的生命周期

JDK中用Thread.State类定义了线程的五种状态 要想实现多线程&#xff0c;必须在主线程中创建新的线程对象。Java语言使用Thread类及其子类的对象来表示线程&#xff0c;在它的一个完整的生命周期中通常要经历如下的五种状态&#xff1a; ①新建&#xff1a; 当一个Thread类或…
阅读更多...
m序列自相关matlab代码,m序列的输出及其自相关序列

m序列自相关matlab代码,m序列的输出及其自相关序列

【例10-2】 设m序列的生成多项式为g(x)1x^3x^4&#xff0c;求&#xff1a;(1)m序列的输出及其自相关序列&#xff1b;(2)脉冲波形成为矩形脉冲p(t){1 0≤t≤Tc 画出m序列信号的自相关函数&#xff1b;{0 其它 &#xff0c;(3)设脉冲波形为升余弦函数(滚降系数a0)&#xff0c;画…
阅读更多...
JDK 10：从Java访问Java应用程序的进程ID

JDK 10：从Java访问Java应用程序的进程ID

StackOverflow.com上一个普遍的问题是&#xff1a;“ Java程序如何获得自己的进程ID&#xff1f; 与该问题相关的几个答案包括解析ManagementFactory返回的String 。 getRuntimeMXBean&#xff08;&#xff09; 。 getName&#xff08;&#xff09; [但是可以提供“任意字符串”…
阅读更多...
spring常见面试问题_Spring面试问题

spring常见面试问题_Spring面试问题

spring常见面试问题另外&#xff0c;请查看我们最新的文章69Spring面试问题与解答–最终清单 。 1&#xff09;什么是春天&#xff1f; 回答&#xff1a; Spring是控件和面向方面的容器框架的轻量级反转。 2&#xff09;解释春天&#xff1f; 回答&#xff1a; 轻巧&#x…
阅读更多...
matlab谱系聚类图,如何看懂SPSS聚类分析的树状图/谱系图？

matlab谱系聚类图,如何看懂SPSS聚类分析的树状图/谱系图？

原创&#xff1a; 数据小兵 SPSS统计训练营SPSS聚类分析提供两种类别图形的输出&#xff0c;第一种是软件默认的“冰柱图”&#xff0c;形状类似于冬天屋檐上垂下的冰柱&#xff0c;因此得名。第二种是“树状图”&#xff0c;在新版本软件中也称谱系图&#xff0c;像一个横着生…
阅读更多...
Java常用类（1）--字符串相关类String、StringBuffer、StringBuilder全面知识

Java常用类（1）--字符串相关类String、StringBuffer、StringBuilder全面知识

文章目录String类StringBuffer类StringBuilder类String&#xff1a;不可变的字符序列&#xff1b;底层使用char[]存储 StringBuffer&#xff1a;可变的字符序列&#xff1b;线程安全的&#xff0c;效率低&#xff1b;底层使用char[]存储 StringBuilder&#xff1a;可变的字符序…
阅读更多...
hybbs接口php,HYBBS

hybbs接口php,HYBBS

#HYBBS官方地址: http://bbs.hyyyp.com论坛基于HYPHP框架开发MVC结构支持HOOK机制PDO操作SQL,支持众多数据库论坛特性服务器环境要求:支持子目录安装论坛PHP 5.3 包括5.3 , 5.3以上环境Apache || Nginx || IIS需要开启伪静态,否则无法安装~!数据库支持 : MYSQL , MSSQL ,Oracle…
阅读更多...
Java常用类（2）--日期时间相关类Date、Calendar、LocalDateTime、Instant全面

Java常用类（2）--日期时间相关类Date、Calendar、LocalDateTime、Instant全面

文章目录java.lang.System类java.util.Date类java.sql.Date类java.text.SimpleDateFormat类java.util.Calendar(日历)类java.time类java.time.Instant类java.time.format.DateTimeFormatter 类其它APIjava.lang.System类 System类提供的public static long currentTimeMillis(…
阅读更多...
apache camel_Apache Camel简介

apache camel_Apache Camel简介

apache camelApache Camel是著名的企业集成模式的开源实现。 Camel是一个路由和中介引擎&#xff0c;可帮助开发人员以各种特定于域的语言&#xff08;DSL&#xff09;&#xff08;例如Java&#xff0c;Spring / XML&#xff0c;scala等&#xff09;创建路由和中介规则。 骆驼…
阅读更多...
Angular5 JWT身份验证（Spring Boot安全性）

Angular5 JWT身份验证（Spring Boot安全性）

欢迎使用带有Spring Security的angular5 jwt身份验证。在本教程中&#xff0c;我们将在一个angular5单页应用程序中使用jwt身份验证创建一个完整的堆栈应用程序&#xff0c;该应用程序具有由spring boot支持并集成了spring security的后备服务器。带有集成了HttpInterceptor的示…
阅读更多...
Java常用类（4）--System类

Java常用类（4）--System类

System类代表系统&#xff0c;系统级的很多属性和控制方法都放置在该类的内部&#xff0c;该类位于java.lang包。 由于该类的构造器是private的&#xff0c;所以无法创建该类的对象&#xff0c;也就是无法实例化该类。其内部的成员变量和成员方法都是static的&#xff0c;可以…
阅读更多...
Java常用类（5）--不可变的任意精度BigInteger、BigDecimal类

Java常用类（5）--不可变的任意精度BigInteger、BigDecimal类

文章目录BigInteger类BigDecimal类BigInteger类 Integer类作为int的包装类&#xff0c;能存储的最大整型值为2^31-1&#xff0c;Long类也是有限的&#xff0c; 最大为2^63-1。如果要表示再大的整数&#xff0c;不管是基本数据类型还是他们的包装类 都无能为力。 java.math包的…
阅读更多...
Java枚举类（1）--枚举类的定义、方法使用和接口实现

Java枚举类（1）--枚举类的定义、方法使用和接口实现

文章目录枚举类的理解枚举类的定义Enum类的主要方法枚举类实现接口枚举类的理解 当类的对象只有有限个&#xff0c;且确定的&#xff0c;称此类为枚举类。 当需要定义一组常量时&#xff0c;强烈建议使用枚举类。 如果枚举类中只有一个对象&#xff0c;则可以作为单例模式的…
阅读更多...
java备忘录_Java 8备忘单中的可选

java备忘录_Java 8备忘单中的可选

java备忘录Java 8 java.util.Optional<T>是scala.Option[T]和Data.Maybe在Haskell中的较差表亲。 但这并不意味着它没有用。 如果您不熟悉此概念&#xff0c;请将Optional想象为可能包含或不包含某些值的容器。 就像Java中的所有引用都可以指向某个对象或为null &#xf…
阅读更多...
推荐文章
最新文章

Copyright @ 2022~2023