java web服务中的用户身份验证

【问题标题】：User authentication in java web servicesjava web服务中的用户身份验证
【发布时间】：2015-01-07 11:50:20
【问题描述】：

我正在开发一个部署在 glassfish 服务器上的 java web 应用程序。 Web 服务用于连接到用户数据库。每个用户都有一个数据库。我的问题是，有没有办法跟踪用户？例如，在 servlet 中，我们使用会话来存储一些用户特定的数据。 Web服务中有类似的东西吗？每次用户向 Web 服务发送请求时都必须验证用户名和密码似乎是不切实际的。谢谢。

【问题讨论】：

标签： web-services jakarta-ee authentication

【解决方案1】：

Web 服务也可以使用会话，但是有充分的理由让它们保持无状态：

可能是客户端不支持会话（cookie），例如如果您的客户不是基于浏览器的；
无状态服务更容易扩展。

您不必使用用户名+密码进行身份验证。您可以使用JWT（或其他类型的访问令牌）来保护它们。

Auth0 有一篇关于这个主题的好文章： https://auth0.com/blog/2014/01/07/angularjs-authentication-with-cookies-vs-token/

【讨论】：