0

所以问题是：我在 Jersey 开发了在 Glassfish 上运行的 REST 服务。对于身份验证，我实现 了 Basic-Authentication。在客户端，我通过ApacheHTTPClient实现了身份验证。

我的想法只是在注册用户进入时要求身份验证 - 比如登录。是在客户端应用程序中配置的（在用户注销之前保持身份验证有效），还是在我配置基本身份验证的 REST 服务中配置？

谢谢！

这就是我在客户端应用程序上进行登录的方式：

import java.util.ArrayList;
import java.util.List;
import org.apache.http.HttpEntity;
import org.apache.http.HttpResponse;
import org.apache.http.NameValuePair;
import org.apache.http.auth.AuthScope;
import org.apache.http.auth.UsernamePasswordCredentials;
import org.apache.http.client.entity.UrlEncodedFormEntity;
import org.apache.http.client.methods.HttpPut;
import org.apache.http.impl.client.DefaultHttpClient;
import org.apache.http.message.BasicNameValuePair;
import org.apache.http.params.HttpConnectionParams;
import org.apache.http.util.EntityUtils;

public class UserLogin {

    private static final String BASE_URI = "http://localhost:8080/LULServices/webresources";

    public static void main(String[] args) throws Exception {

    final DefaultHttpClient httpclient = new DefaultHttpClient();

    try {
            httpclient.getCredentialsProvider().setCredentials(
                new AuthScope("localhost", 8080),
                new UsernamePasswordCredentials("zzzzz", "xxxxx"));

    HttpPut httpPut = new HttpPut(BASE_URI + "/services.users/login");
    HttpConnectionParams.setConnectionTimeout(httpclient.getParams(), 10000);

    httpPut.addHeader("Content-type", "multipart/form-data");

    List<NameValuePair> nameValuePairs = new ArrayList<NameValuePair>();
    nameValuePairs.add(new BasicNameValuePair("login", "zzzzz"));
    nameValuePairs.add(new BasicNameValuePair("password","xxxxx"));

    httpPut.setEntity(new UrlEncodedFormEntity(nameValuePairs));

    HttpResponse response = httpclient.execute(httpPut);

    try {
            System.out.println("Executing request " + httpPut.getRequestLine());
            HttpEntity entity = response.getEntity();

            System.out.println("----------------------------------------");
            System.out.println("HTTP Status: " + response.getStatusLine());

            String putResponse = EntityUtils.toString(entity);
            System.out.println(putResponse);
            EntityUtils.consume(entity);

        } finally
            httpPut.releaseConnection();

        } finally
            httpclient.getConnectionManager().shutdown();
    }
}

它返回给用户他的secret_id。

4

2 回答 2

1

正如Darrel Miller所提到的，基于 REST 的服务应该是无状态的。但为了帮助您解决当前的问题，我建议使用身份验证令牌和刷新策略。

说明： 每次成功验证后，您的服务器可以返回一个唯一的27[任意长度] 数字字符串。这个令牌可能有也可能没有到期政策[取决于你想要什么]。因此，对于后续身份验证[当客户端应用程序具有身份验证令牌时]，您实际上可以提供新的身份验证令牌并使之前的身份验证令牌无效。

此外，对于每个其他 API 调用，您可以发送此身份验证令牌以验证请求是否来自经过身份验证的源。现在，当用户退出应用程序时，您可以简单地从客户端删除身份验证令牌。

下次当用户返回应用程序时，应用程序将没有身份验证令牌，并且可以重定向到登录屏幕。

于 2013-03-25T17:20:11.563 回答
0

基于 REST 的服务应该是无状态的。理想情况下，服务器上不应该有登录的概念。您可以通过决定是否发送 authn 标头来模拟客户端上的登录/注销。

于 2013-03-25T17:09:10.890 回答