java - 基于 SOAP 的 Web 服务中的身份验证和角色 (Java)

Question

<分区>

Answer 1

第一个问题可以有两种解释。 首先，您需要一种身份验证方法，即客户端和服务器之间的协议(protocol)。这里有两个:

• BASIC AUTH - 客户端在请求中以明文形式发送用户名和密码。如果您正在提供内部服务(在您的公司网络内)或拥有加密 channel (HTTPS)，则此功能可以正常工作。
• KERBEROS - 这在 Windows 世界中运行良好，一切都由 Active Directory 控制。但是，如果您尝试将其引入 Java，您将面临噩梦。

其次，您可能需要一个 java 框架来保证安全性。例如，这可以是 spring security。 Spring Security 将自己定位在服务前面的过滤器链中。如果允许请求(例如使用 BASIC_AUTH)，则它会通过，否则不会。 Spring Security 可以配置为以多种方式查找用户、数据库、您自己的代码、ldap(和 Activity 目录)。

第二个问题。 Spring Security 处理角色非常好。我总是让我的 Intranet 应用程序依赖于我的应用程序通过 LDAP 从 AD 获取的角色。控制用户访问功能所需的角色非常容易。有点像这样:

@Secured("ROLE_ADMIN")

第三个问题。这取决于您的 Restful 服务框架，但很可能，是的，同样适用。