Java EE 用户认证和 GWT答案

【问题标题】：Java EE user authentication and GWTJava EE 用户认证和 GWT
【发布时间】：2012-11-20 03:47:32
【问题描述】：

我似乎把自己编码到了一个角落。首先让我告诉你我的最终目标是什么：我有一个 GWT 应用程序，它具有对未登录用户可用的功能，而其他功能仅对经过身份验证的用户可用。当未经身份验证的用户单击需要身份验证的内容时，我希望在模式窗口中弹出一个登录框，并要求用户进行身份验证。（如果不清楚，请访问 digg.com 并尝试在不登录的情况下“挖掘”一个故事，你会明白我的意思）

我有代码可以添加一个用户并保存他们的用户名和密码（用jBCrypt 散列）。我还有一个接受用户名和密码的 RPC，可以验证密码是否正确。

我的问题是验证会话。我可以获得 JSESSIONID，但那是我迷路的部分。如何将用户 ID 与该会话相关联，以及如何检查它是否仍然有效？

我知道 glassfish 可以为我管理会话、用户和角色，但我不知道如何使用 GWT 使这些工作顺利进行。在 Java EE 环境中是否有任何有关 GWT 和验证用户的示例？我已经在谷歌上搜索了几个小时，但我什么也没找到。

【问题讨论】：

这似乎是一个相关的问题：stackoverflow.com/questions/2270215/… 它并没有完全解决通过 Glassfish 进行身份验证的问题，但是如果您阅读了上述问题中的答案，您会发现编写自己的身份验证方法可能是更好的方法（您将了解更多信息，并且可能会产生一个更安全的网站 - 如果您彻底这样做:)）。
PS：我看过一些关于 Acegi + GWT 的教程，如果你感兴趣的话：insideit.fr/post/2009/02/19/… 和 code.google.com/p/gwt-ent/wiki/IntegrationGWTWithAcegi

标签： authentication session gwt jakarta-ee

【解决方案1】：

您的问题有点令人困惑，因为我的印象是您同时朝两个方向前进:-)。

如果您想使用 Java EE 身份验证，则需要使用一些可以在 web.xml 中配置的纯 HTML 页面。使用 RequestBuilder，您实际上可以从 GWT 代码中与这些页面进行交互（就像我们所做的那样）。

如果您想了解有关已通过身份验证的用户的更多信息，请使用 HttpServletRequest 附带的 Principal 对象。 Principal 对象有一个 name 属性。

使用 Java EE 身份验证非常有限，因此在大多数情况下，我们倾向于实现自己的身份验证。

【讨论】：