获取 Jersey ResourceFilterFactory 中的实际参数值

Question

我想使用 Jersey 在我的 REST 服务中实现自定义授权。此自定义授权检查方法上的注释以及方法的实际参数 方法接收。

我的 jax-rs 带注释的方法如下所示：

@GET
@Path("customers")
@Requires(Role.CustomerManager)
public Customer getCustomer(@ParseFromQueryString @CheckPermission final Customer customer) {
    // ...
}

@ParseFromQueryString 是一个注释，指示 Jersey（通过可注入提供程序）从查询字符串中解组 Customer。其代码如下所示：

public class QueryStringCustomerInjectable implements Injectable<Customer> {
  public Customer getValue() {
    final Customer customer = new Customer();
    // ... a UriInfo was injected using the @Context annotation
    // ... extract parameters from QueryString and use setters
    return customer;
  }
}

@CheckPermission 注释指示我的自定义授权者要检查客户的权限。某些用户可以访问某些客户的信息。类似地，@Requires 注释承担了调用者应具有的角色。这些不是 java 的安全角色（字符串），而是枚举值。

使用 Jersey 的 ResourceDebuggingFilter 作为起点，我已经能够知道将调用哪个方法。但是，我仍然没有弄清楚如何确定哪些参数将实际用于调用该方法。

在我的脑海中，我可以想到两种解决方法：

1. 使用 Guice + Jersey 的方法拦截器。
2. 在QueryStringCustomerInjectable 中编写此逻辑，但这看起来有点草率。这将是一个类做得太多的事情。

然而，我真的希望仅使用 Jersey / JAX-RS 来完成此操作。我感觉我已经很接近了！

有想法吗？指针？

谢谢！

Answer 1

您应该使用Filters或Interceptors来处理有关方法的所有信息。
查看 Jersey 过滤器和拦截器

Answer 2

对于客户反序列化，您可以实现 javax.ws.rs.ext.ParamConverterProvider 并将其注册到 Jersey 中。然后您可以使用 @QueryParam("customer") 将其注入到您的方法中。它更加灵活，因为您也可以将它与 @BeanParam 或 @PathParam 注释一起使用。

然后您可以使用ContainerRequestFilter。请参阅 jersey 如何执行 Oauth1 例如 OAuth1ServerFilter。
接下来您可以做的就是创建一个功能来注册新创建的过滤器（请参阅Oauth1ServerFeature 供参考 - 我现在找不到源代码）。

祝你好运！

Answer 3

为什么不使用您自己的 Servlet 过滤器，例如

public class YourFilter implements Filter {
  ...
  @Override
 public void doFilter(ServletRequest request, ServletResponse response,
        FilterChain filterChain) throws IOException, ServletException {

    // HttpServletRequest httpReq = (HttpServletRequest) request;
    // HttpServletResponse httpResp = (HttpServletResponse) response;

    // HttpServletRequest httpReq = (HttpServletRequest) request;
    // HttpServletResponse httpResp = (HttpServletResponse) response;
    // ..... httpReq.getUserPrincipal();


    // then set what you need using ThreadLocal and use it inside your resource class

    // do not forget to call 
    filterChain.doFilter(request, response); // at the end of this method

 }

最后一步是注册您的 Servlet 过滤器。这是使用 Web 应用程序的 web.xml 完成的。

它会在调用 jersey 资源内的实际代码之前拦截您的 HTTP 请求。