Аутентификация и авторизация на простом обслуживании webservice

Question

Я разработал базовый Restful Webservice в eclipse с помощью maven. Я использую tomcat 7.0 в качестве сервера, SE 1.7 и трикотажа в качестве источника JAX-RS, но я не использую JPA. У меня есть база данных MySql, и я подключаюсь к БД с помощью Connector J, предоставленного MySql. У меня есть таблица сотрудников и таблица депарафинов в моей базе данных и подходящие классы моделей для этих таблиц. Мой веб-сервис предоставляет только методы get-methods, которые возвращают сотрудников и информацию об отмене в формате JSON.

Работает отлично, но теперь я хочу, чтобы клиент входил в систему, прежде чем получить доступ к методам webservice.

Клиент не настроен, но это должен быть веб-сайт, на моем сервере tomcat, который использует javascript и JQuery для взаимодействия с веб-сервисом.

Теперь я хочу добавить службу проверки подлинности и авторизации в свой веб-сервис. Это должно проверить, если пользователь вошел в систему, и у него есть разрешения на запрос определенного сотрудника или отдела. К примеру один из моих GET-методов:

@GET 
@Path("/employee/{id}") 
@Produces(MediaType.APPLICATION_JSON) 
public Employee getEmployee(@PathParam("id") long id) { 
    return EmployeeDBService.getDefinedEmployee(id); 
} 

и теперь он называется клиентом с ServerURL/myresource/сотрудник/10 но пользователь регистрируется в клиенте не имеет разрешения попросить сотрудник с идентификатором 10.

Я также хочу добавить функцию, которая выведет клиента после того, как он неактивен.

Я уже искал хороший учебник и технологию для внедрения службы проверки подлинности и авторизации в webservice. Но я не был действительно успешным, потому что:

• Я новичок в разработке Java-сервисов.
• И я нашел только примеры, реализованные в веб-сервисе SOAP, и никогда не читал что-то о автоматическом выходе из системы после некоторого времени бездействия.

Кто-нибудь из вас знает хорошие ссылки/примеры/технологии, как решить мою проблему?

Если у вас возникнут вопросы, я отвечу на них. Спасибо за вашу помощь и время!

Answer 1

В комментариях security chapter in the Jersey documentation покажет вам, как интегрировать механизм аутентификации в API REST: эта часть проверки подлинности проверяет только, зарегистрирован ли пользователь и кто он.

пользователь регистрируется в клиенте не имеет разрешения попросить работника с идентификатором 10

JAX/RS ничего не знает о вашей модели данных и их привилегии не знаю. Но он даст вам свой логин. Вы должны реализовать свою логику самостоятельно. Вероятно, это будет первая строка каждого из ваших методов REST.