Java AJAX Webapp安全性

Question

我正在尝试创建一个简单的AJAX Java Webapp。

我想使用Servlet容器提供的容器管理的安全性，但是在研究了它之后，感觉到它无法按我希望的那样工作。 基本上，我希望能够在主页上显示一个登录提示，而无需用户导航到登录表单。

举例来说，假设有一个简单的留言板应用程序，想要发布新消息的用户将文本直接输入屏幕上的表单中，当涉及到按下提交按钮时，我希望能够进行ajax调用来确定如果用户已经登录，那么我想在同一页面上显示一个登录div，以允许用户登录而无需导航到单独的登录页面。

servlet容器提供的基于表单的登录似乎是基于这样的假设，即用户将在尝试访问“受保护的”内容时被重定向到单独的登录页面，这不是我想要的。发生。

因此，我想我想知道的是，是否存在一种允许用户使用容器管理的安全性或某些第三方库在单页ajax应用程序中登录的标准方法？ 我将看一下Spring安全性，但是乍一看它似乎与标准安全性存在相同的问题。

编辑：发现这非常有用，认为它可能是我的解决方案的基础http://www.jroller.com/sjivan/entry/ajax_based_login_using_aceci

Answer 1

我过去曾使用过Spring Security，虽然我没有专门使用它来完成此操作，但我记得它是可插拔的。 虽然在未经身份验证的情况下采取的经典动作是将用户重定向到登录表单页面，但在这种情况下，您可以使用提供的几种类中的一种来更改行为，或者编写自己的类很容易，它将执行您的任何操作想要（在这种情况下，根据其外观返回适当的AJAX响应）。

由于遗留原因，我最终不得不实现的逻辑非常可怕，而且我仍然能够做到这一点而没有任何特定的麻烦。 我毫不怀疑，您也可以使Spring Security在这方面工作（如果他们已经有了满足您要求的特定类，我也不会感到惊讶）。

Answer 2

嗨，迈克，我要经历同样的过程-试图找出将Spring Security，Apache Shiro等安全软件包集成到ajax世界中的最佳实践。

根据我到目前为止的了解，最终（无论您使用哪个安全软件包来实现授权和身份验证），检查用户是否已通过身份验证的ajax调用都必须调用一个呈现一个响应（例如json或xml），客户端上的javascript随后可以处理该响应并做出适当的反应（内嵌显示登录表单等）。

据我了解，这是流程：

1. 初始浏览器请求，例如： http：// mysite / homepage
2. 服务器呈现页面（使用大量可用的Java框架中的任何一种，例如，简单的servlet，jsp，jsf等）
3. 渲染页面包括某种javascript库（gwt，jquery，prototype等）
4. javascript库发出异步请求。 必须在Java Servlet容器知道使用json和/或xml而不是html响应的URL处发出此请求。 例如， http：// mysite / ajax / isAuthenticated
5. 客户端上的javascript侦听响应。
6. 客户端上的javascript解析json / xml响应并显示登录页面，或继续进行下一个操作。

服务器端+客户端框架的组合可能有数百种，以提供帮助。 到目前为止，我已经尝试过grails +原型，grails + jquery，grails + gwt，简单的servlets + gwt，目前正在研究使用Spring MVC + Gwt。 另外，在Java世界之外，我刚刚开始阅读Ruby on Rails（据我所了解，Ruby on Rails的创建基本上是为了使客户端和服务器之间的这种ajax通信变得容易）。 我还没有找到最适合我的产品，所以如果您有运气，请告诉我您的结果！

Answer 3

发现类似的问题已在Spring安全论坛上得到解答

http://forum.springsource.org/showthread.php?t=80549

不像我希望的那样简单明了，但是一旦您熟悉Spring Security，这似乎是一个很好的建议-我可能暂时不进行登录并专注于其他功能。 如果我能实施解决方案，将在这里更新。

Answer 4

好的-有一个基本的解决方案，我并不是说它是最好的，但看起来它可以胜任。

它基于Sanjiv Jivan的博客文章

http://www.jroller.com/sjivan/entry/ajax_based_login_using_aceci

编辑：刚刚阅读了该帖子的评论后，看来可能还有另一种方法，该帖子已有3年以上的历史，因此，如果那里有更好的解决方案，也许会在Spring中使用新功能也不会感到惊讶或J2EE。 但是我现在要坚持下去。

他在此处进行了很好的记录，因此，我在这里仅作评论，这里有一个基本示例，首先复制Spring Security示例应用程序，然后按照Sanjiv的描述添加ServletFilter。

当他使用早期版本的Acegi Security（现在称为Spring Security）时，需要进行一两个更改：

URL模式现在是“ /j_spring_security_check ”（而不是“ /j_acegi_security_check ”），我发现我不得不添加一个名为‘Ajax’的输入来获得isAjaxRequest方法返回true -猜我错过了JavaScript来的东西。

不得不在过滤器中更改一行以检查“ login_error”而不是“ login_error = 1”，猜测这是在较新版本的SpringSecurity中所做的更改。 IE浏览器：

               if (redirectURL.indexOf("login_error") == -1) {  

另外，由于我使用的不是jQuery原型，所以我用JavaScript创建了一个基本的html页面，以使用jQuery进行测试。

目前它的状态很粗糙，显示的状态只是“ url：/ msgbrd /”或“ error：Bad凭证”，但是可以很容易地整理它。

如果这有帮助，这是我的示例index.html：

    <!DOCTYPE html PUBLIC "-//W3C//DTD HTML 4.01 Transitional//EN" "http://www.w3.org/TR/html4/loose.dtd">
<html>
<head>
<meta http-equiv="Content-Type" content="text/html; charset=ISO-8859-1">
<title>Insert title here</title>
<script type="text/javascript" src="jquery-1.3.2.js"></script>
<script type="text/javascript" src="jquery.form.js"></script>
<script type="text/javascript">

var loginOptions = { 
beforeSubmit:  postingLogin,  // pre-submit callback 
success:       showResponse,  // post-submit callback 
    type: 'post',
    url: '/msgbrd/j_spring_security_check'  ,
    clearForm: true
}; 


$(document).ready(function(){
    $('#loginForm').ajaxForm( loginOptions );   
        });


function postingLogin() {
    console.log("Login posting: ");

}
function doneLogin() {

    console.log("Login posted ");
}
function showResponse(responseText, statusText)  { 
    $("#statusMessage").empty();
    $("#statusMessage").append( responseText); 
} 

</script>


</head>
<body>
<h1>msgbrd</h1>
<div>
<form id="loginForm" action="" method="POST">
<p><label for="username"> User Name: </label> <input id="username"
    type="text" name="j_username" class="loginText"></p>

<p><input id="ajax" name="ajax" value="ajax"></input></p>
<p><label for="password"> Password: </label> <input id="password"
    type="password" name="j_password" class="loginText"
    onkeydown="loginOnEnter(event);"></p>

<p><label for="remember_me"> <input id="remember_me"
    type="checkbox" name="_acegi_security_remember_me">Remember Me</label>
</p>


<p><input type="submit" value="Go"></input></p>
<p id="statusMessage"></p>
</form>
</div>
</body>
</html>