爲什麼我的Web服務服務器保持對應用程序服務器的首次成功認證？

我有一個基於Java SE 6的JAX-WS web服務。有一種web服務方法，它通過HTTP登錄應用服務器並讀取信息。爲什麼我的Web服務服務器保持對應用程序服務器的首次成功認證？

如果客戶端使用正確的用戶名和密碼調用Web服務方法，它將在應用程序服務器上得到認證，然後從中獲得響應。

然後，如果第二個客戶端調用帶有錯誤用戶名/密碼的Web服務方法，它將會被認證並接收機密信息 - 這是錯誤的行爲。

只有在這兩個客戶端調用之間重新啓動Web服務服務器時，如果用戶名/密碼錯誤，第二個調用將被拒絕。

一旦創建了身份驗證連接，Web服務器服務器似乎保持對應用程序服務器的身份驗證，然後連續調用不再需要進行身份驗證。

我的問題是，如何使2個Web服務方法的調用完全隔離？

2012-10-23 chance

什麼是用於驗證的機構之間。但是沒有看到你的代碼是很難說什麼是在這種情況下，更好的方法？ – rbhawsar

應用服務器是PTC的Windchill服務器。它使用HTTP身份驗證基礎結構這是一個Web服務器，它使用LD對HTTP請求進行身份驗證AP可訪問的目錄服務器作爲其用戶數據庫。 – chance

只是在這裏猜測，但你是否可能將身份驗證令牌存儲爲WS servlet中的實例變量？

乾杯，

2012-10-23 10:06:28

你有兩個選擇 - 讓你的RESTful Web服務類（每個請求通過身份驗證的細節，並沒有存儲在Web服務本身的任何狀態信息或要確保您傳遞和驗證會話ID互聯網服務和客戶端（S）

2012-10-23 10:37:51

回答