java – 使用spring ws支持的webapplication进行会话管理

If webservice is stateless,how do I know that an ajax request is authorized? How do I know that ajax request is coming from user1 of webapp1,who is authorized? and not from user2 of webapp2,who is not authorized to access the service?

好问题.快速回答是：

>对于基本身份验证：用户名：密码为base64编码,并存储在客户端发送的每个请求的Authorization http标头中.见this wiki entry.标题如下所示：

授权：基本QWxhZGRpbjpvcGVuIHNlc2FtZQ ==

使用spring security,配置可以是这样的：

<http pattern="/api/**" create-session="stateless">
        <intercept-url pattern='/**' access="hasRole('REMOTE')" />
        <http-basic />
    </http>

>对于WS的基于表单的身份验证,请查看this article.

>首先,您向/ j_spring_security_check发送了一个帖子请求.此请求将返回Cookie,然后将由任何后续请求对Web服务使用.在这里,他们将其存储在文本文件中：

curl -i -X POST -d j_username = user -d j_password = userPass -c /tmp/cookies.txt
http://localhost:8080/app/j_spring_security_check
>然后,您可以使用文件中的cookie进行进一步的身份验证请求：

curl -i –header“Accept：application / json”-X GET -b /tmp/cookies.txt
http://localhost:8080/app/api/foos

xml spring安全配置可能如下所示：

<http pattern="/api/**" create-session="stateless">
        <intercept-url pattern='/**' access="hasRole('REMOTE')" />
        <form-login />
    </http>