Question

我有一个使用Resteasy并在Wildfly上运行的Web服务。

通过让用户为每个请求传递Authorization标头来进行身份验证。理想情况下，我需要检查用户是否拥有他们试图访问的资源，但我想知道最好或最好的方法是什么。

例如，用户拥有多个“礼品清单”。我有一个端点www.example.com/api/giftlist/7，它应该检索ID为7的礼品清单，但前提是授权标题来自该清单的所有者。在代码中，它看起来像这样：

 /**
 * Retrieve a list by it's ID and return in JSON format.
 * @param id the ID of the list to return
 * @return the list.
 */
@GET
@Path("/{id}")
@ApiOperation(value = "Get a gift list by ID.", response = GiftList.class)
@Produces(MediaType.APPLICATION_JSON)
public GiftList getGiftListById(@HeaderParam("Authorization") String authorization, @PathParam("id") Long id){
    User user = null;
    AccessToken token = dao.find(AccessToken.class, authorization);
    if(token !=null){
        user = token.getUser();
    }

    GiftList giftList = dao.find(GiftList.class, id);
    if(giftList == null){
        throw new WebApplicationException(Response.Status.NOT_FOUND);
    }

    if(!giftList.isOwnedBy(user)) {
        throw new WebApplicationException(Response.Status.FORBIDDEN);
    }

    return giftList;
}

注意几乎所有这种方法都与识别用户是否存在以及他们是否拥有他们试图访问的资源有关。然后这个逻辑需要重复PUT，POST和DELETE，这一切都变得相当混乱。

我尝试使用拦截器，这样做我能够检查用户的角色，但是我无法访问他们尝试访问的资源的类型或ID。请注意，GiftLists不是此应用程序中的唯一资源。我正在寻找一种更简洁的方法来避免在大多数资源的每个操作中执行此操作。也许使用拦截器，但我不确定如何访问@PathParam值并获取正确的类型，然后从数据库中检索它并检查所有权。

这一定是一个常见问题，所以我确定有一些常用的约定或模式？我已经完成了关于身份验证和使用拦截器的无休止的谷歌搜索，但似乎没有人真正帮助解决这种“所有权”问题。

减少某些但不是所有混乱的一种方法是使用拦截器来获取请求并在拦截器中找到用户，但后来我不知道如何传递该用户从那里的对象到方法本身，以保存再次查找它。

另一个想法是我可以将用户或Authorization标头传递给DAO，如果用户无权访问特定资源，则让DAO抛出异常，但安全逻辑是否存在于DAO区域 - 这对我来说似乎也不正确 - 例如dao.findGiftList(authorization, ID) - 但DAO负责处理此授权吗？

Answer 1

要在RESTful Web服务中启用身份验证和授权，您可以使用JAAS

要在wildfly上执行此操作，您可以：

在Wildfly配置中配置安全域，如下所示使用DataBase登录模块（如果将其作为独立服务器运行，则采用standalone.xml配置）

<security-domain name="test" cache-type="default">
    <authentication>
        <login-module code="Database" flag="required">
            <module-option name="dsJndiName" value="java:/TestDS"/>
            <module-option name="principalsQuery" value="select password from User where login = ? and (disabled is null or disabled = 0) and activated = 1"/>
            <module-option name="rolesQuery" value="select name,'Roles' from Role r, User_Role ur, User u where u.login=? and u.id = ur.userId and r.id = ur.roleId"/>
            <module-option name="hashAlgorithm" value="SHA-256"/>
            <module-option name="hashEncoding" value="base64"/>
            <module-option name="unauthenticatedIdentity" value="guest"/>
        </login-module>
    </authentication>
</security-domain>

在webapp / WEB-INF目录中的jboss-ejb3（如果您使用RESTful EJB webservices）或jboss-web.xml文件中引用它。

的JBoss-web.xml中

<?xml version="1.0" encoding="UTF-8"?>
<!-- Configure usage of the security domain "other" -->
<jboss-web>
    <security-domain>test</security-domain>
</jboss-web>

的JBoss-ejb3.xml

<jboss:ejb-jar xmlns:jboss="http://www.jboss.com/xml/ns/javaee"
               xmlns="http://java.sun.com/xml/ns/javaee"
               xmlns:s="urn:security"
               xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance"
               xsi:schemaLocation="http://www.jboss.com/xml/ns/javaee http://www.jboss.org/j2ee/schema/jboss-ejb3-2_0.xsd
                         http://java.sun.com/xml/ns/javaee http://java.sun.com/xml/ns/javaee/ejb-jar_3_1.xsd"
               version="3.1"
               impl-version="2.0">
    <assembly-descriptor>
        <s:security>
            <ejb-name>*</ejb-name>
            <s:security-domain>test</s:security-domain>
        </s:security>
    </assembly-descriptor>

</jboss:ejb-jar>

配置安全约束和login-config，如以下示例所示，该示例在webapp中启用BASIC身份验证:(有关详细信息，请参阅this link）

<security-constraint>
    <web-resource-collection>
        <web-resource-name>REST services</web-resource-name>
        <url-pattern>/rs/user/*</url-pattern>
    </web-resource-collection>

    <auth-constraint>
        <role-name>*</role-name>
    </auth-constraint>
</security-constraint>

<login-config>
    <auth-method>BASIC</auth-method>
    <realm-name>TestRealm</realm-name>
</login-config>

...

<security-role>
    <role-name>*</role-name>
</security-role>

然后使用@PermitAll或@RolesAllowed注释您的REST方法，以允许仅对某些角色进行公共访问或授权访问，如下例所示：

@Path("/giftlists")
public class GiftLists{

    @Resource
    private SessionContext sessionContext;

    @GET
    @Consumes(MediaType.APPLICATION_JSON)
    @RolesAllowed(USER) // Allow only authenticated users to access this
    @Path("/{giftListId}")
    public void getGiftListById(@NotNull @PathParam("giftListId") Long giftListId) {

        User user = userDAO.findUserByLogin(sessionContext.getCallerPrincipal().getName());

        GiftList giftList = giftListDAO.findGiftListByIdAndUser(giftListId, user); // user is provided to your DAO method / query, so giftList is returned only when User owns it. (No FORBIDDEN error)

        if(giftList == null){
            throw new WebApplicationException(Response.Status.NOT_FOUND);
        }

    }
}

所以在这个例子中你有两个改进：

您可以将此服务的访问权限仅限于经过身份验证的用户，其样本角色为“USER”。
您可以使用sessionContext以编程方式检索用户和相关角色。您最终可以对礼品列表进行分类，以使其可用于特定角色。

Resteasy授权设计 - 检查用户是否拥有资源

1 个答案: