如何在Java中使用身份验证令牌进行Spring安全性

Question

我正在用Spring 4构建一个应用程序，并在Java中使用其余的Web服务。因此，对于所有Web服务，我想发送用户名，带有URL的密码以保护Web服务。用户名应为“ ADMIN”，密码应为“ ADMIN123”。点击服务后，它应该发送一个身份验证令牌，该值我可以用于该会话。

服务等级

@Path("/users")
@Service
@Component
public class UserWebservice {

@Autowired
ApplicationContext appContext = new ClassPathXmlApplicationContext("spring/config/BeanLocations.xml");  
@Autowired
UserProfileBo userProfileBo = (UserProfileBo) appContext.getBean("userProfileBo");

@Path("/")
@GET
@Produces(MediaType.APPLICATION_JSON)
public ArrayList<UserProfilePojo> fetchUserProfile() {
    ArrayList<UserProfilePojo> userProfilePojo = userProfileBo.fetch();
    return userProfilePojo;
}

web.xml

<?xml version="1.0" encoding="UTF-8"?>

<web-app xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance" xmlns="http://java.sun.com/xml/ns/javaee" xsi:schemaLocation="http://java.sun.com/xml/ns/javaee http://java.sun.com/xml/ns/javaee/web-app_3_0.xsd" id="WebApp_ID" version="3.0">
  <display-name>ABC</display-name>
 <context-param>
    <param-name>contextConfigLocation</param-name>
    <param-value>/WEB-INF/applicationContext*.xml</param-value>
</context-param>
<listener>
   <listener-class>
        org.springframework.web.context.ContextLoaderListener
   </listener-class>
</listener> 
    <servlet>
    <servlet-name>Jersey REST Service</servlet-name>
    <servlet-class>com.sun.jersey.spi.container.servlet.ServletContainer</servlet-class>
    <init-param>
      <param-name>com.sun.jersey.config.property.packages</param-name>
      <param-value>com.abc.webservices</param-value>
    </init-param>
    <init-param>
      <param-name>com.sun.jersey.spi.container.ContainerResponseFilters</param-name>
      <param-value>com.sun.jersey.api.container.filter.GZIPContentEncodingFilter</param-value>
    </init-param>
    <load-on-startup>1</load-on-startup>
  </servlet>
  <servlet-mapping>
    <servlet-name>Jersey REST Service</servlet-name>
    <url-pattern>/*</url-pattern>
  </servlet-mapping>  
</web-app>

因此，虽然现在我正在访问http://localhost:8080/ABC/users并获得响应。 但我希望用户名和密码应与URL标头一起添加，以确保安全。

Answer 1

为了将基于令牌的安全性与Spring安全性一起使用，有多个可用选项。

1. 使用OAuth
2. 使用JWT
3. 实现自己的拦截器方法（不推荐）

如何实现这些。 Spring提供了许多使用这些框架的示例，

http://projects.spring.io/spring-security-oauth/docs/oauth2.html

https://github.com/spring-projects/spring-security-oauth/tree/master/samples

这很好地解释了概念

https://www.toptal.com/java/rest-security-with-jwt-spring-security-and-java