我想编写一个 servlet 过滤器来处理 BASIC 身份验证标头,即使 Web 应用程序是使用 FORM 身份验证配置的。我看到这是可能的,因为詹金斯设法做到了。(参见:http ://sorcerer.jenkins-ci.org/ --> jenkins.security.ApiTokenFilter)
我有一个简单的演示,其中包含一个简单的日志记录MyAuthFilter
、一个安全的 Web 资源和以下内容web.xml
:
<?xml version="1.0" encoding="UTF-8"?>
<!--<web-app version="3.0" xmlns="http://java.sun.com/xml/ns/javaee" xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance" xsi:schemaLocation="http://java.sun.com/xml/ns/javaee http://java.sun.com/xml/ns/javaee/web-app_3_0.xsd">-->
<web-app xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance" xmlns="http://java.sun.com/xml/ns/javaee" xmlns:web="http://java.sun.com/xml/ns/javaee/web-app_2_5.xsd"
xsi:schemaLocation="http://java.sun.com/xml/ns/javaee http://java.sun.com/xml/ns/javaee/web-app_2_5.xsd" id="WebApp_ID"
version="2.5">
<filter>
<filter-name>MyAuthFilter</filter-name>
<filter-class>com.foobar.auth.MyAuthFilter</filter-class>
</filter>
<filter-mapping>
<filter-name>MyAuthFilter</filter-name>
<url-pattern>/*</url-pattern>
</filter-mapping>
<servlet>
<servlet-name>ServletAdaptor</servlet-name>
<servlet-class>com.sun.jersey.spi.container.servlet.ServletContainer</servlet-class>
<init-param>
<param-name>com.sun.jersey.config.property.packages</param-name>
<param-value>com.ericsson</param-value>
</init-param>
<load-on-startup>1</load-on-startup>
</servlet>
<servlet-mapping>
<servlet-name>ServletAdaptor</servlet-name>
<url-pattern>/secure/*</url-pattern>
</servlet-mapping>
<session-config>
<session-timeout>
30
</session-timeout>
</session-config>
<security-constraint>
<display-name>SecurityConstraint</display-name>
<web-resource-collection>
<web-resource-name>all</web-resource-name>
<description>all</description>
<url-pattern>/*</url-pattern>
<http-method>GET</http-method>
<http-method>POST</http-method>
<http-method>HEAD</http-method>
<http-method>PUT</http-method>
<http-method>OPTIONS</http-method>
<http-method>TRACE</http-method>
<http-method>DELETE</http-method>
</web-resource-collection>
<auth-constraint>
<role-name>AuthenticatedUser</role-name>
</auth-constraint>
</security-constraint>
<!-- <login-config>
<auth-method>BASIC</auth-method>
<realm-name>foobar</realm-name>
</login-config>-->
<login-config>
<auth-method>FORM</auth-method>
<realm-name>ossrealm</realm-name>
<form-login-config>
<form-login-page>/public/login.jsp</form-login-page>
<form-error-page>/public/error.html</form-error-page>
</form-login-config>
</login-config>
</web-app>
我的问题是,MyAuthFilter
当我请求受保护的资源时,它永远不会被调用,我被静默地重定向到登录页面。如果我禁用限制过滤器的安全性,则会被调用。
我想念什么?如何实现基于 FORM 和 BASIC auth 的混合?
注意:请不要评论目标本身(混合方法),这是因为我的 Web 应用程序包含一个 RESTful 服务,该服务必须可以通过脚本的 BASIC auth 访问(就像 Jenkins 一样),但是在以下情况下重定向到登录页面是必要的从网络浏览器使用。