通过 Spring 进行 RESTful 身份验证

我们设法让这个工作完全按照 OP 中的描述工作，希望其他人可以使用该解决方案。这是我们所做的：

像这样设置安全上下文：

<security:http realm="Protected API" use-expressions="true" auto-config="false" create-session="stateless" entry-point-ref="CustomAuthenticationEntryPoint">
    <security:custom-filter ref="authenticationTokenProcessingFilter" position="FORM_LOGIN_FILTER" />
    <security:intercept-url pattern="/authenticate" access="permitAll"/>
    <security:intercept-url pattern="/**" access="isAuthenticated()" />
</security:http>

<bean id="CustomAuthenticationEntryPoint"
    class="com.demo.api.support.spring.CustomAuthenticationEntryPoint" />

<bean id="authenticationTokenProcessingFilter"
    class="com.demo.api.support.spring.AuthenticationTokenProcessingFilter" >
    <constructor-arg ref="authenticationManager" />
</bean>

如您所见，我们创建了一个自定义 AuthenticationEntryPoint，如果我们的 AuthenticationTokenProcessingFilter 在过滤器链中未对请求进行身份验证，它基本上只返回一个 401 Unauthorized。

自定义身份验证入口点：

public class CustomAuthenticationEntryPoint implements AuthenticationEntryPoint {
    @Override
    public void commence(HttpServletRequest request, HttpServletResponse response,
            AuthenticationException authException) throws IOException, ServletException {
        response.sendError( HttpServletResponse.SC_UNAUTHORIZED, "Unauthorized: Authentication token was either missing or invalid." );
    }
}

AuthenticationTokenProcessingFilter：

public class AuthenticationTokenProcessingFilter extends GenericFilterBean {

    @Autowired UserService userService;
    @Autowired TokenUtils tokenUtils;
    AuthenticationManager authManager;
    
    public AuthenticationTokenProcessingFilter(AuthenticationManager authManager) {
        this.authManager = authManager;
    }

    @Override
    public void doFilter(ServletRequest request, ServletResponse response,
            FilterChain chain) throws IOException, ServletException {
        @SuppressWarnings("unchecked")
        Map<String, String[]> parms = request.getParameterMap();

        if(parms.containsKey("token")) {
            String token = parms.get("token")[0]; // grab the first "token" parameter
            
            // validate the token
            if (tokenUtils.validate(token)) {
                // determine the user based on the (already validated) token
                UserDetails userDetails = tokenUtils.getUserFromToken(token);
                // build an Authentication object with the user's info
                UsernamePasswordAuthenticationToken authentication = 
                        new UsernamePasswordAuthenticationToken(userDetails.getUsername(), userDetails.getPassword());
                authentication.setDetails(new WebAuthenticationDetailsSource().buildDetails((HttpServletRequest) request));
                // set the authentication into the SecurityContext
                SecurityContextHolder.getContext().setAuthentication(authManager.authenticate(authentication));         
            }
        }
        // continue thru the filter chain
        chain.doFilter(request, response);
    }
}

显然，TokenUtils 包含一些私密（并且非常特定于案例）代码，不能轻易共享。这是它的界面：

public interface TokenUtils {
    String getToken(UserDetails userDetails);
    String getToken(UserDetails userDetails, Long expiration);
    boolean validate(String token);
    UserDetails getUserFromToken(String token);
}

这应该让你有一个好的开始。

---

您可以考虑 Digest Access Authentication。基本上协议如下：

请求来自客户端 服务器以唯一的 nonce 字符串响应 客户端提供用户名和密码（以及一些其他值） md5 与 nonce 散列；这个哈希被称为 HA1 服务器然后能够验证客户端的身份并提供请求的材料 与随机数的通信可以继续，直到服务器提供新的随机数（计数器用于消除重放攻击）

所有这些通信都是通过标头进行的，正如 jmort253 指出的那样，通常比在 url 参数中传达敏感材料更安全。

Spring Security 支持摘要式访问身份验证。请注意，尽管文档说您必须有权访问客户的纯文本密码，但您可以为您的客户successfully authenticate if you have the HA1 hash。

---

关于携带信息的令牌，JSON Web 令牌 (http://jwt.io) 是一项出色的技术。主要概念是将信息元素（声明）嵌入到令牌中，然后对整个令牌进行签名，以便验证端可以验证声明确实可信。

我使用这个 Java 实现：https://bitbucket.org/b_c/jose4j/wiki/Home

还有一个 Spring 模块（spring-security-jwt），但我还没有研究它支持什么。

---

为什么不开始使用带有 JSON WebTokens 的 OAuth

http://projects.spring.io/spring-security-oauth/

OAuth2 是一种标准化的授权协议/框架。根据官方 OAuth2 Specification：

您可以找到更多信息here

---