Шаблоны Java EE: авторизация и реализация RESTful

Question

Я хочу реализовать базовую услугу RESTful с помощью Tomcat. Перед использованием API требуется авторизация. Разрешение будет достигнуто путем запроса расходной «ресурса» например

some.domain.com/rest/accounts?user=ABC&password=XYZ 

Если учетные данные действительны, соответствующий ресурс счета будет перенастроен в формате JSON или пустой ответ типа 403 будет возвращен. После авторизации выполняется, клиент может затем получить доступ к API (например):

some.domain.com/rest/secure/bookings 
some.domain.com/rest/secure/friends 

Однако я чувствую себя потерял все варианты осуществления. Я знаю, что хочу использовать Spring, но Джексон кажется проще и проще возвращать объекты JSON.

Вопросы:

1. Должен ли я реализовать Spring Controller, даже если класс, который использует Джексон вид контроллера тоже? Или, если я использую Джексона, нет необходимости в контроллере Sping?

2. Должна ли аутентификация выполняться с использованием Spring-Security, фильтров Tomcat или AOP с пружиной?

Кажется, существует так много способов сделать что-то, но мой приоритет - сохранить все просто.

Answer 1

Возможно, самый поврежденный мозгом способ выполнить проверку подлинности, которую я когда-либо видел. Аутентификация - , а не - проблема REST API, но базового фреймворка/сервера с базовым, дайджестским, переговорным и т. Д. Как уже говорилось, весенняя безопасность - самый естественный способ сделать это.

Answer 2

Jackson - сериализация JSON; Я не вижу, что это касается аутентификации/авторизации.

Если вы уже используете Spring, Spring Security является естественным.

Есть еще одна точка зрения: сохраните ее просто. Базовый auth и база данных с именами пользователей и зашифрованными, солеными паролями не составит труда написать. Единственный DAO, и вы хороши.

Да, аутентификация/авторизация являются сквозными проблемами. Ответ на вопрос о том, где лучше всего это сделать, зависит от того, где вы должны применять и потреблять его. Для фильтров Tomcat требуется HTTP. Вы будете проходить проверку подлинности на уровне контроллера или службы? Или оба? Как насчет авторизации на основе ролей? Это может быть сложно.