使用BASIC身份验证创建会话

Question

我想编写一个Servlet，通过它可以创建一个新会话。

Servlet要求用户使用BASIC authentication验证进行BASIC authentication并返回标准会话cookie（使用HttpServletRequest#getSession(true) ）。 但是，如果客户端在其下一个请求中使用接收到的会话cookie代替了BASIC authentication ，则不会对其进行身份验证。 服务器可以识别会话，但是不包含用户信息。

我使用的是Tomcat，经过一点调试后，原因也很明显：用户信息（主体）在身份验证后添加到会话中。 但是，当进行第一次BASIC身份验证时，尚不存在任何会话，因为该会话将由Servlet创建。 有谁知道如何解决这个问题？

Answer 1

经过一夜的睡眠[1]，我相信自己已经想出了一个可行的解决方案。 如果调用客户端将遵循重定向，以下代码段（使用JAX-RS，但将其转换为简单的servlet代码应该不太困难）可以解决问题：

public Response getSessionCookie() {
  boolean sessionExists = m_servletRequest.getSession(false) != null;
  if (sessionExists) {
    return Response.noContent().build();
  } else {
    HttpSession session = m_servletRequest.getSession();
    return Response.status(Status.TEMPORARY_REDIRECT)
        .header("Location",
           m_uriInfo.getAbsolutePathBuilder().matrixParam("jsessionid", session.getId()).build())
        .build();
  }
}

第一个请求将创建一个会话，并将客户端重定向到相同的地址，但是URL中带有会话ID（这很重要）。 客户端将遵循该请求并再次发送相同的BASIC身份验证数据，但是现在它将在现有会话中注册。 上面方法的第二次调用将简单地返回带有会话cookie的空响应，该响应现在可用于后续请求。 请注意，在第二个响应中，会话cookie对我而言是不同的，但查看Tomcat代码似乎是故意的（成功的身份验证将始终创建一个新会话）。

[1]睡眠被大大低估了！