使用API​​Keys保护REST API？

Question

我们使用Spring Security保护Spring Web应用程序，一组SOAP API服务使用与Spring MVC用于对用户进行身份验证的@ org.jboss.ejb3.annotation.SecurityDomain相同的安全域。

我们现在正在重构我们的应用程序并创建安全的REST API。 我们认为遵循以下方法

• Spring @RestController方法充当REST APIS / webservices来替换我们现有的soap API。
• Spring OAuth2保护REST API
• Spring MVC继续使用springfly服务器中定义的spring安全域和安全域，一旦用户通过javascript / angular js进行身份验证，表单登录后使用oauth访问令牌来调用受保护的REST API

弹簧配置

<http pattern="/restapi/**" entry-point-ref="oauthAuthenticationEntryPoint"
    create-session="stateless" xmlns="http://www.springframework.org/schema/security"
    use-expressions="true">
    <anonymous enabled="false" />
    <access-denied-handler ref="oauthAccessDeniedHandler" />
    <intercept-url pattern="/restapi/**" access="isAuthenticated()" />
    <remember-me key="myapp" services-ref="rememberMeServices" />
    <custom-filter ref="jbossSecurityFilter" after="REMEMBER_ME_FILTER" />
    <custom-filter ref="resourceServerFilter" before="PRE_AUTH_FILTER" />
</http>

<http pattern="/oauth/token" create-session="stateless"
    use-expressions="true" authentication-manager-ref="authenticationManager">
    <intercept-url pattern="/oauth/token" access="isAuthenticated()" />
    <anonymous enabled="false" />
    <custom-filter ref="clientCredentialsTokenEndpointFilter"
        before="BASIC_AUTH_FILTER" />
    <access-denied-handler ref="oauthAccessDeniedHandler" />
    <http-basic entry-point-ref="clientAuthenticationEntryPoint" />
    <remember-me key="myapp" services-ref="rememberMeServices" />
    <custom-filter ref="jbossSecurityFilter" after="REMEMBER_ME_FILTER" />
</http>

<beans:bean id="jaasAuthenticationProvider"     class="org.springframework.security.authentication.jaas.JaasAuthenticationProvider">
              <beans:property name="refreshConfigurationOnStartup" value="false"/> 
              <beans:property name="loginConfig" value="/WEB-INF/login.conf" />
              <beans:property name="loginContextName" value="AppName" />
              <beans:property name="callbackHandlers">
                 <beans:list>
                    <beans:ref bean="jaasNameCallBackHandler" />
                    <beans:bean class="org.springframework.security.authentication.jaas.JaasPasswordCallbackHandler" />
                 </beans:list>
              </beans:property>
              <beans:property name="authorityGranters">
                 <beans:list>
                    <beans:bean class="com.custom.CustomAuthorityGranter" />
                 </beans:list>
              </beans:property>
           </beans:bean>

第三方应用程序或REST API客户端将使用以下步骤来访问令牌并访问受保护的REST API

  

http://hostname:8080/myapp/oauth/token?grant_type=password&client_id=X&username=user1&password=secret&client_secret=XYZ&scope=read+write+trust

     

http://hostname:8080/myapp/restapi/getdata?access_token=5ec70b18-d9eb-449b-a1fa-d29c3d47274d

请求我们的网络服务客户端在请求参数/标头中发送凭据以获取访问令牌是否安全？

这是保存服务器会话中的令牌以在Spring MVC请求的UI中使用它的好方法吗？

我们还被要求考虑API密钥来访问REST API。通过使用API​​密钥，我们可以获得ejb会话上下文和用户详细信息吗？如果是这样，我们可以在Web部件中使用API​​密钥和弹簧安全性吗？