使用 JAX-RS (Jersey) 和 @RolesAllowed 自定义 HTTP 状态响应

Question

通过我非常简单的 JAX-RS 服务，我使用带有 JDBC 领域的 Tomcat 进行身份验证，因此我正在使用 JSR 250 注释。

问题是我想在 HTTP 状态响应中返回一个自定义消息体。状态码 (403) 应该保持不变。例如，我的服务如下所示：

@RolesAllowed({ "ADMIN" })
@Path("/users")
public class UsersService {

    @GET
    @Produces(MediaType.TEXT_PLAIN)
    @Consumes({MediaType.APPLICATION_JSON, MediaType.APPLICATION_XML})
    public String getUsers() {
        // get users ...
        return ...;
    }
}

如果具有不同于“ADMIN”角色的用户访问服务，我想将响应消息更改为类似的内容（取决于媒体类型 [xml/json]）：

<error id="100">
    <message>Not allowed.</message>
</error>

此时 Jersey 返回以下正文：

HTTP Status 403 - Forbidden

type Status report
message Forbidden
description Access to the specified resource (Forbidden) has been forbidden.
Apache Tomcat/7.0.12

如何更改默认邮件正文？有没有办法处理（可能抛出的）异常来构建我自己的 HTTP 状态响应？

Answer 1

处理此类事情的最简单方法是抛出异常并注册异常映射器以在这种情况下转换为您要发送的消息类型。所以，假设你抛出一个AccessDeniedException，你就会有一个像这样的处理程序（为了清楚起见，在地方有完整的类名）：

@javax.ws.rs.ext.Provider
public class AccessDeniedHandler
        implements javax.ws.rs.ext.ExceptionMapper<AccessDeniedException> {
    public javax.ws.rs.core.Response toResponse(AccessDeniedException exn) {
        // Construct+return the response here...
        return Response.status(403).type("text/plain")
                .entity("get lost, loser!").build();
    }
}

您注册异常映射器的方式因您使用的框架而异，但对于泽西岛，您只需使用@Provider 就可以了。我会让你自己弄清楚你想如何生成你想要的那种错误文档，但我确实建议将失败处理为某种 HTTP 错误代码（这更符合 RESTful...）

Answer 2

通过创建ExceptionMapper（映射WebApplicationException 的异常），可以“捕获”应用程序抛出的某些异常：

@Provider
public class MyExceptionMapper implements ExceptionMapper<WebApplicationException> {

    @Override
    public Response toResponse(WebApplicationException weException) {

        // get initial response
        Response response = weException.getResponse();

        // create custom error
        MyError error = ...;

        // return the custom error
        return Response.status(response.getStatus()).entity(error).build();
    }
}

您还需要将包添加到您的应用程序 web.xml 以注册提供程序：

<init-param>
    <param-name>com.sun.jersey.config.property.packages</param-name>
    <param-value>
        com.myapp.userservice; // semi-colon seperated
        com.myapp.mappedexception
    </param-value>
</init-param>

Answer 3

REST 基于 HTTP 构建，因此您不必更改身份验证失败的默认行为。访问资源时出现 403 错误足以让客户端清楚地了解附加的内容。

您的资源越符合 HTTP，其他人就越能理解它。