基于OAuth或自定义过滤器实现外部移动应用安全访问Liferay 7.4页面

OAuth的适用性分析 #

OAuth的核心逻辑是用户身份授权，依赖用户在授权方（Liferay）的身份存在，对你的场景适配性很差：

• 若用Client Credentials模式（应用级授权），仅适用于后台API访问，无法支撑移动应用嵌入的前端Liferay页面——Liferay页面渲染需要会话或用户上下文，而该模式不会创建用户会话，页面无法正常加载。
• 其他OAuth模式（如Authorization Code）要求用户在Liferay完成登录授权，完全违背你“移动应用用户与Liferay用户无关联”的需求。

因此，OAuth并不适合你的场景。

自定义过滤器的优势与实现思路 #

自定义Servlet过滤器是更贴合需求的方案，它可以直接拦截目标Liferay页面的请求，完成令牌验证逻辑，无需依赖用户身份关联：

• 实现步骤：

  1. 在Liferay中开发自定义Servlet过滤器，将其注册到目标页面的请求路径（例如/web/xxxx/page1/*）。
  2. 移动应用在请求嵌入的Liferay页面时，通过请求头（推荐用X-App-Auth-Token）或URL参数携带预约定制的令牌。
  3. 过滤器提取令牌后，通过两种方式验证：
     • 调用移动应用的后端验证接口，确认令牌有效性；
     • 若用JWT格式令牌，可直接在Liferay本地校验签名、过期时间等字段。
  4. 验证通过则允许请求继续流转，Liferay正常渲染页面；验证失败则返回403无权限响应，或跳转至自定义提示页面。
  5. 若页面需要基础会话支持，可在验证通过后，用Liferay API创建匿名访客会话，保证页面功能正常。

• 注意事项：

  • 令牌建议采用JWT格式，包含过期时间、应用唯一标识等字段，避免明文令牌被伪造；
  • 过滤器需做好异常处理，覆盖令牌缺失、验证超时、签名错误等场景。

内容的提问来源于stack exchange，提问作者Gnaniyar Zubair