通过 spring 使用用户名/密码和令牌进行 RESTful 身份验证

Question

我正在开发一个移动应用程序，服务器端是使用 Spring 3 MVC 的 REST。

我试图将 Spring Security 与其集成以保护资源。我已经阅读了很多材料以获取有关如何操作的信息。我了解架构，但是在实现方面我仍然感到困惑。

我推荐了SO question；我有同样的要求。我理解代码，但是，我对第一个身份验证请求何时进来感到困惑；那时令牌将不会作为标头的一部分出现，因此相同的过滤器将不起作用。

所以我想知道我应该如何实现它。我正在考虑按如下方式实现它：

1. 使用请求中的用户名密码对用户进行身份验证的单独过滤器
2. 身份验证后，过滤器会在上下文中设置身份验证信息
3. 另一个过滤器使用令牌对所有 API URL 进行身份验证

这是实现它的正确方法吗？

Answer 1

无需添加其他过滤器。无论认证结果如何，系统都会尝试调用相应映射的处理程序，因为您在if(validate_token)之外有chain.doFilter()。

您必须告诉 Spring 安全您的请求 /login 不得经过身份验证。您可以在 xml/java config 中进行配置。