security - JaaS 可以用于 Rest 吗？

Question

根据这个问题，我没有找到任何东西。

jaas 可以用来保护我的休息服务吗？如果是，与基本/摘要身份验证 + ssl 相比有什么优势吗？我应该在基本/摘要身份验证上使用 jaas 来进行休息服务吗？

Answer 1

是的，您可以使用 JAAS 来保护 REST（或任何其他类型的）服务……只要您的 REST 容器提供挂钩 JAAS 登录模块的能力。

我知道的大多数容器，尤其是 Tomcat 和 Jetty。

JAAS 不是关于如何格式化或提供凭据（表单登录、基本身份验证等），而是关于如何验证它们的更多信息。您可能想要检查本地文件、查询数据库或 LDAP 服务器...

JAAS 不仅是身份验证，也是授权。通过身份验证阶段后，您提供给用户的角色和权限。所有实现 JAAS 的容器都将提供 JAAS 模块和容器提供的授权方案之间的无缝集成，例如 web.xml 为 servlet 提供的授权方案。

由于 JAAS 是一个标准并且现在是 JRE 的一部分，因此您会在 Web 上找到许多现成的模块和文档，以帮助您在需要时构建自己的模块和文档。