Développement backend Java : authentification et autorisation API à l'aide du service d'authentification et d'autorisation Java

Le développement back-end Java a toujours été le courant dominant du développement d'applications d'entreprise. Dans le développement réel, nous devons souvent authentifier et autoriser les API pour garantir la sécurité des données et des utilisateurs. Le service d'authentification et d'autorisation Java (JAAS) est un moyen d'implémenter l'authentification et l'autorisation d'identité fournies par Java.

Qu'est-ce que JAAS

JAAS est un cadre de sécurité fourni par la technologie Java, qui fournit une API et un SPI communs pour mettre en œuvre l'authentification et l'autorisation. Les applications Java et les applications Web peuvent utiliser JAAS pour mettre en œuvre une authentification et une autorisation sécurisées.

JAAS contient trois concepts fondamentaux : Sujet, Authentification et Autorisation.

Le sujet fait référence à un utilisateur ou à un service et possède une ou plusieurs identités (principaux) et plusieurs autorisations appropriées (autorisations). Le sujet est la classe principale de JAAS et représente toute entité de l'application.

L'authentification signifie vérifier l'identité du Sujet. Il se compose d'un ensemble d'informations d'identification telles que le nom d'utilisateur et le mot de passeCredential. Les informations d'identification peuvent être n'importe quoi : mot de passe, certificat numérique, empreinte digitale, etc.
L'autorisation représente le processus d'autorisation d'un sujet à accéder à des ressources ou à effectuer des opérations. L'autorisation fait référence à une opération unique capturée dans la machine virtuelle Java, telle que la lecture d'un fichier ou l'acceptation d'une connexion socket.

Comment utiliser JAAS pour l'authentification et l'autorisation API

Tout d'abord, nous devons configurer le module d'implémentation JAAS. JAAS prend en charge plusieurs modules d'implémentation, le plus couramment utilisé étant le module d'implémentation basé sur des fichiers. Voici un exemple de configuration JAAS basé sur un fichier :

Sample {
  com.mycompany.security.SampleLoginModule required;
};

où Sample est le nom du module d'implémentation, com.mycompany.security.SampleLoginModule est le nom de la classe Java qui implémente l'interface LoginModule, et obligatoire indique que le module doit être exécuté pendant le processus d’authentification.

Ensuite, en Java, nous devons utiliser la classe LoginContext pour implémenter l'authentification et l'autorisation. L'exemple de code est le suivant :

LoginContext lc = new LoginContext("Sample", 
  new CallbackHandler() {
    public void handle(Callback[] callbacks) {
        // ...
        // 这里实现回调处理逻辑
        // ...
    }
});

try {
    lc.login();
    Subject subject = lc.getSubject();
    // 身份验证成功，subject中包含了身份和权限
} catch (LoginException le) {
    // 身份验证失败
}

Comme le montre le code ci-dessus, nous créons d'abord un objet LoginContext et lui transmettons le module d'implémentation et le gestionnaire de rappel. Dans le gestionnaire de rappel, nous pouvons gérer les rappels requis pour l'authentification.

Ensuite, nous appelons la méthode de connexion de LoginContext pour effectuer l'authentification et l'autorisation. Si la vérification réussit, nous pouvons obtenir l'objet Subject du LoginContext et l'utiliser dans les requêtes ultérieures pour vérifier les autorisations de l'API.

Enfin, nous devons utiliser l'objet Sujet dans l'API pour vérifier les autorisations de l'utilisateur, par exemple :

Subject subject = SecurityContextHolder.getContext().getAuthentication().getPrincipal();
if (subject.isPermitted("read_data")) {
    // 允许访问数据
} else {
    // 拒绝访问数据
}

Dans le code ci-dessus, nous utilisons le SecurityContextHolder dans le framework Spring Security pour obtenir l'objet Sujet et utilisons le isPermis méthode pour vérifier si nous avons des autorisations.

Conclusion

L'utilisation de JAAS pour l'authentification et l'autorisation est une approche standard dans le développement backend Java. Il fournit des API et SPI communs, permettant aux développeurs de mettre facilement en œuvre la sécurité des API. J'espère que cet article pourra vous aider à comprendre comment utiliser JAAS pour l'authentification et l'autorisation API.

Ce qui précède est le contenu détaillé de. pour plus d'informations, suivez d'autres articles connexes sur le site Web de PHP en chinois!