HTTP 身份验证解码的开源 Java 服务器端实现

Question

我需要在 servlet 应用程序中执行 HTTP 身份验证逻辑，而不是将此任务委托给容器。

具体来说，我需要一种方法来获取包含 HTTP 身份验证标头的 HttpServletRequest 标头，并将它们解码为表示所提供凭据的数据结构，然后应用程序可以处理该数据结构。应该支持基本身份验证和摘要身份验证。

我可以用手写这个，这不会太麻烦，RFC 都有详细的文档记录，但我很想使用现成的库来为我做这件事。

我的第一个想法是 Spring Security，但据我所知，这个任务委托给了容器（我对此有点不清楚，这是一个复杂的代码库）。

有人知道其他人吗？

Answer 1

• 对于 BASIC，它非常容易实现 - 只需读取标头，对其进行 base64 解码，然后将其拆分为“：”字符。您还可以使用 Spring 的 BasicProcessingFilter，并提供 AuthenticationManager。
• 使用摘要，您无法从请求中获取密码（这就是重点......）。即使协议有详细记录，实现所有细节也不是一项简单的任务。因此我会选择 Spring 的 摘要处理过滤器。在这种情况下，您需要提供 UserDetailsS​​ervice 根据用户名（用于摘要）提供用户密码。

Answer 2

这是我的解码器：

public static String[] decodeBasicAuth(String authorization) {
    if (authorization == null)
        throw new RuntimeException("Invalid Authorization String.");
    if (authorization.length() < 9)
        throw new RuntimeException("Invalid Authorization String.");
    if (authorization.length() > 64)
        throw new RuntimeException("Invalid Authorization String.");
    String s[] = authorization.split("\\s", 3);
    if (s.length < 2)
        throw new RuntimeException("Invalid Authorization String.");
    for (int i = 0; i < s.length; i++) {
        String part = s[i];
        if (part.compareTo("Basic") == 0) {
            String userPassBase64 = s[i + 1];
            if (!userPassBase64.isEmpty()) {
                String userPass = null;
                try {
                    userPass = new String(DatatypeConverter.parseBase64Binary(userPassBase64));
                } catch (RuntimeException e) {
                    throw new RuntimeException("Authorization cannot be decoded.", e);
                }
                String userPassArray[] = userPass.split(":");
                if (userPassArray.length == 2) {
                    return userPassArray;
                } else {
                    throw new RuntimeException("Invalid Authorization String.");
                }
            } else {
                throw new RuntimeException("Invalid Authorization String.");
            }
        }
    }
    throw new RuntimeException("Authorization cannot be decoded.");
}

Answer 3

我不知道有什么框架，但除非您使用 BASIC 身份验证，否则您可能无法获取用户的密码。

如果您使用 BASIC 身份验证，则对 Authentication 标头进行 Base64Decode 非常简单。