如何在GAE Web服務中提供身份驗證（使用restlet框架）？

Question

Iam正在爲我的GAE應用程序尋找適當的身份驗證方式。

由於我爲我的web服務使用restlet框架，因此我發現cookie是安全服務調用的好方法。現在我的疑惑是：

1. 什麼是「簽名cookie」？
2. 在哪裏存儲cookie值？數據庫或任何靜態類？
3. 如何爲cookie提供加密？
4. 如果cookie在瀏覽器中被禁用，該怎麼辦？

有沒有比Cookie更好的機制？

Answer 1

如果啓用了會議，處理Cookie會自動照顧你：http://code.google.com/appengine/docs/java/config/appconfig.html#Enabling_Sessions

現在，會話的所有用戶進行處理，這是由你來跟蹤誰被認證：

1. 當用戶登錄時，add some auth data到session。這些數據可能包含他們的ID到期時間。
2. 當有請求進入時，如果此數據存在並且仍然有效，請查看會話。
3. 如果有效，請照常進行。
4. 如果在會話中無效或無身份驗證數據，則返回錯誤（在REST中）或重定向到登錄頁面。

所有這些功能通常在servlet filter執行。過濾器在servlet處理請求之前和之後處理請求，因此它們爲您提供了一個攔截請求並執行一些處理（如檢查請求是否已通過驗證）的選項。