Spring如何在RESTful Web应用程序中进行身份验证（登录/注销）？

Question

我想验证

http://myhost/login?user=...&password=...

并注销

http://myhost/logout

我正在使用Gradle，Spring Boot和Java配置，因此没有web.xml，没有上下文配置，没有Web表单等等。

在多页和多文件样本中无法摆脱Google噪音...

Answer 1

您是否考虑过使用servlet过滤器 ？ 似乎想要将用户名和密码作为http参数传递时要执行的操作。 否则，您可能还会考虑HTTP BASIC身份验证 。 它使用base64“ encryption”在HTTP标头中传递用户名和密码。 当然，完整的网站安全性是另一回事。

请参阅此使用HTTP BASIC身份验证的示例 。

Answer 2

一种方法是使用令牌。

登录服务将接受凭据，生成令牌（例如，UUID类型为4，请参阅https://en.wikipedia.org/wiki/Universally_unique_identifier ），将令牌存储在表中并返回它。

在每次调用中，客户端都必须在标头中或作为其他参数发送令牌，因此过滤器或其他工具将对其进行检查以允许访问。

注销时，令牌将被删除（您可能希望有一个在一定时间或类似时间之后删除令牌的过程）。