Установить роли в веб-службе Джерси

Question

Я создаю веб-сервис, используя Jersey + Jetty + Dropwizard + Hibernate.

Скажем, у меня есть веб-сайт, как это:

@Path("/") 
@PermitAll 
public class Resource { 
    @RolesAllowed("user") 
    @GET 
    public String get() { return "GET"; } 


@RolesAllowed("admin") 
@POST 
public String post(String content) { return content; } 

@Path("sub") 
public SubResource getSubResource() { 
    return new SubResource(); 
} 
} 

Я знаю, что вы можете проверить роль пользователя с HttpServletRequest.isUserInRole.

Вопрос в том, как мне назначить роли для начала? Как Джерси знает, что вернуть для метода isUserInRole, или знает, как отфильтровывать людей от того, чтобы не попасть в конкретные ресурсы на основе их ролей?

У меня нет web.xml или webdefault.xml, поэтому определения должны быть сделаны в другом месте.

Answer 1

Вы должны предоставить класс провайдера, который поддерживает аннотацию @RolesAllowed («admin»), а затем вам необходимо зарегистрировать класс провайдера в своем приложении. Обычно это делается в web.xml, но поскольку вы его не используете , вы должны предоставить его самостоятельно. Связанный пример можно найти: here

Answer 2

Джерси использует свой собственный механизм для проверки ролей (см. интерфейс SecurityContext), однако, если он явно не установлен, он возвращается к аутентификации контейнера, который обычно реализуется с использованием JaaS. Если у вас есть web.xml, вы сможете настроить его там.

Снова повторная проверка подлинности выполняется по-разному. Если вы можете вручную зарегистрировать пользователя, например, иметь службу, которая может проверять имя/пароль, тогда вы можете реализовать ContainerRequestFilter, который заполнил бы контекст безопасности, который мог бы сделать аннотацию @RolesAllowed, чтобы просто работать.

Например:

обновляется на основе комментариев

метод Resouce журналов в пользователе:

@Path("some/login/path") 
public void login() { 
    String name = getUsernameFromRequest(); 
    String password = // like above 
    User user = loginService.login(name, password); 
    request.getSession().addAttribute("user", user); 
} 

Инициализировать контекст безопасности фильтра для всех запросов.

@Priority(Priorities.AUTHENTICATION) 
public class JerseySecurityContextFilter implements ContainerRequestFilter { 

    public void filter(final ContainerRequestContext context) throws IOException { 
    User user = getUserFromSession(); 
    if (user != null) { 
     // this sets security context for the rest of processing 
     // it should make @RolesAllowed work 
     context.setSecurityContext(new JerseySecurityContext(user); 
    } 
} 

final class JerseySecurityContext implements SecurityContext { 

    private final User user; 

    public JerseySecurityContext(final User user) { 
     this.user = user; 
    } 

    public boolean isUserInRole(final String roleName) { 
     return user.hasRole(roleName); 
    } 

    public Principal getUserPrincipal() { 
     return new Principal() { 
      public String getName() { 
       return user.getName(); 
      } 
     }; 
    } 

    public String getAuthenticationScheme() { 
     return null; 
    } 
} 

Если вы предпочитаете использовать JaaS, вам придется настраивать безопасность в конфигурации вашего приложения. Вот некоторые примеры для встроенных Jetty.