问题:
我们有一个基于Spring MVC的RESTful API，其中包含敏感信息。API应该是安全的，但每次请求时发送用户的凭据（用户名/密码组合）并不可取。根据REST指南（以及内部业务要求），服务器必须保持无状态。该API将以混合风格的方式被另一个服务器消耗。
需求:
客户端使用凭据向.../authenticate（未受保护的URL）发出请求；服务器返回一个安全令牌，其中包含足够的信息以验证未来的请求并保持无状态。这可能由与Spring Security的Remember-Me Token相同的信息组成。
客户端对各种（受保护的）URL发出后续请求，将之前获取的令牌作为查询参数附加（或者，不太理想的是，作为HTTP请求头附加）。
客户端不能指望存储cookies。
由于我们已经使用Spring，所以解决方案应该利用Spring Security。
我们一直在努力解决这个问题，希望有人已经解决了这个问题。
在上述情况下，您将如何解决这个特定的需求？
<security:http realm="Protected API" use-expressions="true" auto-config="false" create-session="stateless" entry-point-ref="CustomAuthenticationEntryPoint">
<security:custom-filter ref="authenticationTokenProcessingFilter" position="FORM_LOGIN_FILTER" />
<security:intercept-url pattern="/authenticate" access="permitAll"/>
<security:intercept-url pattern="/**" access="isAuthenticated()" />
</security:http>
<bean id="CustomAuthenticationEntryPoint"
class="com.demo.api.support.spring.CustomAuthenticationEntryPoint" />
<bean id="authenticationTokenProcessingFilter"
class="com.demo.api.support.spring.AuthenticationTokenProcessingFilter" >
<constructor-arg ref="authenticationManager" />
</bean>
如您所见，我们创建了自定义的AuthenticationEntryPoint，其基本上只是在过滤器链中由我们的AuthenticationTokenProcessingFilter进行身份验证失败时返回401未经授权。
CustomAuthenticationEntryPoint：
public class CustomAuthenticationEntryPoint implements AuthenticationEntryPoint {
@Override
public void commence(HttpServletRequest request, HttpServletResponse response,
AuthenticationException authException) throws IOException, ServletException {
response.sendError( HttpServletResponse.SC_UNAUTHORIZED, "Unauthorized: Authentication token was either missing or invalid." );
}
}
AuthenticationTokenProcessingFilter:
public class AuthenticationTokenProcessingFilter extends GenericFilterBean {
@Autowired UserService userService;
@Autowired TokenUtils tokenUtils;
AuthenticationManager authManager;
public AuthenticationTokenProcessingFilter(AuthenticationManager authManager) {
this.authManager = authManager;
}
@Override
public void doFilter(ServletRequest request, ServletResponse response,
FilterChain chain) throws IOException, ServletException {
@SuppressWarnings("unchecked")
Map<String, String[]> parms = request.getParameterMap();
if(parms.containsKey("token")) {
String token = parms.get("token")[0]; // grab the first "token" parameter
// validate the token
if (tokenUtils.validate(token)) {
// determine the user based on the (already validated) token
UserDetails userDetails = tokenUtils.getUserFromToken(token);
// build an Authentication object with the user's info
UsernamePasswordAuthenticationToken authentication =
new UsernamePasswordAuthenticationToken(userDetails.getUsername(), userDetails.getPassword());
authentication.setDetails(new WebAuthenticationDetailsSource().buildDetails((HttpServletRequest) request));
// set the authentication into the SecurityContext
SecurityContextHolder.getContext().setAuthentication(authManager.authenticate(authentication));
}
}
// continue thru the filter chain
chain.doFilter(request, response);
}
}
很明显，TokenUtils 包含一些私密（也非常特定于情况的）代码，无法轻易共享。这是它的接口：
public interface TokenUtils {
String getToken(UserDetails userDetails);
String getToken(UserDetails userDetails, Long expiration);
boolean validate(String token);
UserDetails getUserFromToken(String token);
}
那应该可以让你有一个良好的开端。
validate(...)方法）。这很重要，因为我希望服务器保持无状态。我想你可以使用这种方法而不需要使用Spring。 - Chris CashwellSpring Security 支持摘要访问身份验证。请注意，尽管文档中说您必须拥有客户端的明文密码，但如果您拥有客户端的 HA1 哈希，则可以成功进行身份验证。
http://projects.spring.io/spring-security-oauth/
OAuth2是一个标准化的授权协议/框架。根据官方OAuth2 规范：
您可以在这里找到更多信息。