Authentification et autorisation sur un webservice reposant simple

Question

J'ai développé un service web de base Restful dans eclipse en utilisant maven. J'utilise tomcat 7.0 comme serveur, le SE 1.7 et le jersey comme source JAX-RS, mais je n'utilise pas JPA. J'ai une DB MySQL et je me connecte à la DB avec Connector J fourni par MySQL. J'ai une table d'employé et une table de département dans ma base de données et les classes modèles appropriées pour ces tables. Mon service Web fournit uniquement des méthodes get qui renvoient les informations sur les employés et les départements au format JSON.

Cela fonctionne parfaitement bien, mais maintenant je veux que le client se connecte avant d'avoir accès aux méthodes webservice.

Le client n'est pas défini sur jet, mais il doit s'agir d'un site Web sur mon serveur Tomcat qui utilise javascript et JQuery pour interagir avec le service Web.

Maintenant, je veux ajouter un service d'authentification et d'autorisation à mon service web. Cela devrait vérifier si l'utilisateur est connecté et a les autorisations pour demander un employé ou un service défini. Par exemple, un de mes get-méthodes est:

@GET 
@Path("/employee/{id}") 
@Produces(MediaType.APPLICATION_JSON) 
public Employee getEmployee(@PathParam("id") long id) { 
    return EmployeeDBService.getDefinedEmployee(id); 
} 

et maintenant il est appelé par le client avec serverURL/myresource/employé/10 mais l'utilisateur connecté dans le client n'a pas l'autorisation de demander l'employé avec l'id 10.

Je veux également ajouter une fonctionnalité qui déconnecte le client après être resté un moment inactif.

J'ai déjà recherché un bon tutoriel et une bonne technologie pour implémenter le service d'authentification et d'autorisation au webservice. Mais je n'ai pas vraiment eu de succès, parce que:

• Je suis novice en matière de développement de services Web Java reposants.
• Et je n'ai trouvé que des exemples qui sont implémentés dans un service web SOAP et ne lisent jamais quelque chose à propos d'une déconnexion automatique après un certain temps inactif.

Est-ce que quelqu'un de vous connaît les bons liens/exemples/technologies comment résoudre mon problème?

S'il y a une question, je vais y répondre. Merci pour votre aide et votre temps!

Answer 1

Comme commenté, le security chapter in the Jersey documentation vous montrera comment intégrer le mécanisme d'authentification dans vos API REST: Cette partie de l'authentification va seulement vérifier si l'utilisateur est connecté et qui il est.

l'utilisateur connecté dans le client n'a pas l'autorisation de demander employé avec l'id 10

JAX/RS ne sait rien au sujet de votre modèle de données et leurs privilèges. Mais il vous donnera son identifiant. Vous devez implémenter la logique par vous-même. Probablement ce sera la première ligne de chacune de vos méthodes REST.