實施春季安全與Java客戶端

Question

客戶端

我有一個使用基本POST或GET方法連接到遠程服務器的Java應用程序：

URL url = new URL(urlStr); 
HttpURLConnection conn = (HttpURLConnection) url.openConnection(); 
conn.setRequestMethod("POST"); 
conn.setDoOutput(true); 
conn.setDoInput(true); 
conn.setAllowUserInteraction(false); 
conn.setRequestProperty("Content-type", "text/xml; charset=" + ENCODING); 

conn.connect(); 
conn.getOutputStream().write(data.getBytes(ENCODING)); 
conn.getOutputStream().close(); 

（我不能改變該代碼，只有我可以改變的事情是在調用方法時將urlStr和data發送到服務器）。

[編輯]：客戶端可以是Java客戶端或任何其他客戶端（C++，objective-c，..）。這裏的要點是，我只能訪問我的帖子正文以及網址。

服務器端

在我的服務器端，我想實現的Spring Security（SecurityContext中和會話持久性）。

據我所知，彈簧安全是基於瀏覽器的cookies，當它是一個WebApp來保存有關session id的信息。但在我的情況下，沒有瀏覽器。

• 我需要模擬JSESSIONID的存儲和發送回服務器？我不確定這是可能的，因爲我需要撥打conn.addRequestProperty(key, value)這是不可能的。

• 還有別的辦法嗎？

謝謝。

[編輯]

由@zagyi指出的那樣，我就可以使用URL會話令牌傳遞到春天，但我仍然無法弄清楚如何。

Answer 1

傳遞的JSESSIONID在url只是在這樣的URL的末尾追加它的事：

http://localhost:8080/example/auth/login;jsessionid=A06F00609BBA8A4C2B005FB25F90C4C9 

您可以在工作，如果您配置的瀏覽器不接受任何cookie看到這一點，在這種情況下，服務器會自動將該會話ID包含在url中（假定默認的tomcat配置）。本主題也在this question中討論。

Answer 2

可能有一個客戶端解決方案。

的作用點在這裏我們可以交流是在這裏：

HttpURLConnection conn = (HttpURLConnection) url.openConnection(); 

我們將提供自己的（包裹）HttpURLConnection，它將處理JSESSIONID。但不幸的是，我們必須進一步開始。

訣竅是我們註冊一個新的協議，例如， 「xhttp」，我們用它來包裝一個真正的「http」協議連接。所以，你的URL看起來像：

xhttp://www.example.com/... 

首先，定義一個URLStreamHandlerFactory類

public class MyURLStreamHandlerFactory implements URLStreamHandlerFactory { 
    public URLStreamHandler createURLStreamHandler(String protocol) { 
     if ("xhttp".equals(protocol)) { 
      return new MyURLStreamHandler(); 
     } 
     return null; 
    } 
} 

在Java（或應用程序）初始化時，我們可以設置它。每個JVM只能執行一次。

URLStreamHandlerFactory fac = new MyURLStreamHandlerFactory(); 
URL.setURLStreamHandlerFactory(fac); 

因此，我們繼續使用MyURLStreamHandler。

public class MyURLStreamHandler extends URLStreamHandler { 
    @Override 
    protected URLConnection openConnection(URL url) throws IOException { 
     return new MyHttpURLConnection(url); 
    } 
} 

這很簡單，我們創建自己的連接。讓我們做的髒東西：

public final class MyHttpURLConnection extends HttpURLConnection { 
    private HttpURLConnection conn; 
    public MyHttpURLConnection(URL url) throws MalformedURLException, IOException { 
     super(url); 
     String newUrlString = url.toExternalForm().substring(1); 
     conn = (HttpURLConnection) new URL(newUrlString).openConnection(); 
    } 
    @Override 
    public void disconnect() { 
     conn.disconnect(); 
    } 
    @Override 
    public boolean usingProxy() { 
     return false; 
    } 
    @Override 
    public void connect() throws IOException { 
     conn.connect(); 
     conn.setRequestProperty("JSESSIONID", "X"); 
    } 
} 

，瞧，我們成功地訪問我們的連接，並設置JSESSIONID頭。

您所需要的只是編譯您的類，將類文件添加到客戶端jar中，並使init代碼在上述代碼運行的相同JVM中以某種方式運行。

如果你不能做到這一點，還有另外一種可能：設置以下系統參數給客戶端的Java應用程序：

-Djava.protocol.handler.pkgs=com.example.myprotocol 

在這種情況下創建一個com.example.myprotocol.xhttp（xhttp喜歡你的協議名稱），請將我們的MyURLStreamHandler類重命名爲com.example.myprotocol.xhttp.Handler。這是協議解析器將查找它的固定名稱。請注意，此java.protocol.handler.pkgs屬性由安全管理器檢查。