通过OSGI HTTP Service注册Servlet时,它为您提供了提供HTTPContext实现的选项。
httpService.registerServlet(alias, new MyServlet(), initParams, null);
当我们实现HTTPContext接口时,我们可以实现三种方法。 在提供给ermmm的请求之前,将调用这三(3)个handleSecurity中的一部分……检查安全性。
public class BasicAuthSecuredContext implements HttpContext{@Overridepublic boolean handleSecurity(HttpServletRequest request, HttpServletResponse response) throws IOException {return false;}@Overridepublic URL getResource(String s) {return null; }@Overridepublic String getMimeType(String s) {return null;}
}
因此,在实现此功能时,我从OSGI HTTPContext文档和HTTP Authentication spec中借用了很多内容。 如果您有兴趣学习很多东西,深入研究细节等内容,则必须阅读它们。或者您也可以阅读本文的其余部分。
首先,除非使用https,否则不进行基本身份验证是一件大事。 如果不存在,我们会让用户知道它是禁区。 让我们继续做。
if (!request.getScheme().equals("https")) {response.sendError(HttpServletResponse.SC_FORBIDDEN);return false;
}
接下来,让我们检查Authorization标头。 如果那不在那里,我们会让他们知道,他们需要那种东西才能在那里。 或者我们只是说他们是未经授权的。 现在开始吧。
if (request.getHeader("Authorization") == null) {response.sendError(HttpServletResponse.SC_UNAUTHORIZED);return false;
}
好的,两项测试通过了。 现在,我们做一些实际的工作。 让我们提取标头以对其进行解码,然后执行“不太正确”的身份验证。
protected boolean authenticated(HttpServletRequest request) {String authzHeader = request.getHeader("Authorization");String usernameAndPassword = new String(Base64.decodeBase64(authzHeader.substring(6).getBytes()));int userNameIndex = usernameAndPassword.indexOf(":");String username = usernameAndPassword.substring(0, userNameIndex);String password = usernameAndPassword.substring(userNameIndex + 1);// Now, do the authentication against in the way you want, ex: ldap, db stored uname/pw// Here I will do lame hard coded credential check. HIGHLY NOT RECOMMENDED! return ((username.equals("username") && password.equals("password"));}
让我们将此方法集成到handleSecurity
方法中。 请注意,当安全性失败时,如何将有意义的错误消息设置为响应(第14行)。 这样可以防止用户猜测,并且他们知道出了什么问题。 Ermm,至少,如果他们知道HTTP错误代码,他们将确切知道出了什么问题。
@Overridepublic boolean handleSecurity(HttpServletRequest request, HttpServletResponse response) throws IOException {if (!request.getScheme().equals("https")) {response.sendError(HttpServletResponse.SC_FORBIDDEN);return false;}if (request.getHeader("Authorization") == null) {response.sendError(HttpServletResponse.SC_UNAUTHORIZED);return false;}if (authenticated(request)) {return true;} else {response.sendError(HttpServletResponse.SC_UNAUTHORIZED);return false;}}
而已。 现在,在注册Servlet时传递该对象,
httpService.registerServlet(alias, new MyServlet(), initParams, new BasicAuthSecuredContext());
…并看到OSGI Servlet中基本身份验证的强大功能!
参考: 在我们的JCG合作伙伴 Mackie Mathew的dev_religion博客上, 在OSGI环境中为Servlet实现Servlet的基本身份验证 。
翻译自: https://www.javacodegeeks.com/2012/06/servlet-basic-auth-in-osgi-environment.html