Web服务器RESTful认证咨询：求AngularJS与Jersey认证层方案及资料

嘿，很高兴能帮到你！既然你已经有了密码认证机制，现在要在AngularJS客户端和Jersey REST服务器之间增设认证层，我给你几个实用的方向和具体实践建议：

1. 基于JWT的Token认证（首推） #

这是当前RESTful服务+前后端分离场景下最流行的方案，轻量且易实现：

• 核心流程：用户通过密码登录后，Jersey服务器生成包含用户身份信息的JWT（JSON Web Token）返回给AngularJS客户端；后续客户端每次发起请求时，都在Authorization请求头里带上Bearer <token>；Jersey端通过过滤器/拦截器校验token的合法性、有效期。
• 技术实现细节：
  • Jersey侧可以用io.jsonwebtoken（JJWT）库来生成和解析JWT，只需要配置一个全局的请求过滤器，拦截所有接口请求做token校验。
  • AngularJS侧可以通过$httpProvider.interceptors实现一个全局拦截器，自动给每个请求添加token头，同时处理401未授权的响应（比如跳转到登录页）。
• 注意事项：生产环境必须用HTTPS传输token，避免被窃取；设置合理的token过期时间，同时搭配刷新token机制，避免用户频繁登录。

2. OAuth2.0（授权码模式） #

如果你们的系统未来可能需要支持第三方登录、或者更细粒度的权限管控，OAuth2.0是个长远的选择：

• 适合对外提供API的场景，但内部系统用可能稍显复杂。Jersey官方有OAuth2.0的扩展库（org.glassfish.jersey.security:oauth2-server），可以快速搭建授权服务；AngularJS侧可以通过第三方库或自定义逻辑来获取授权码、携带访问令牌。

3. 基本认证（Base64）+ HTTPS #

这是最简单的HTTP原生认证方式，适合快速落地，但安全性依赖HTTPS：

• 核心流程：AngularJS把用户名和密码用Base64编码后，放在Authorization: Basic <编码字符串>头里发送；Jersey侧可以通过容器安全（比如Tomcat Realm）配合@RolesAllowed注解实现权限控制，或者自定义过滤器校验编码后的凭证。
• 缺点：每次请求都要携带编码后的密码（只是编码而非加密），必须强制HTTPS；没有自动过期机制，除非客户端主动清除凭证。

Jersey端JWT校验过滤器示例 #

@Provider
public class JwtAuthFilter implements ContainerRequestFilter {
    // 建议从配置文件读取密钥，不要硬编码
    private static final String SECRET_KEY = "your-strong-secret-key";

    @Override
    public void filter(ContainerRequestContext requestContext) throws IOException {
        String authHeader = requestContext.getHeaderString(HttpHeaders.AUTHORIZATION);
        
        // 检查请求头是否包含Bearer token
        if (authHeader != null && authHeader.startsWith("Bearer ")) {
            String token = authHeader.substring(7);
            try {
                // 校验JWT签名和有效期
                Jwts.parser()
                    .setSigningKey(SECRET_KEY)
                    .parseClaimsJws(token);
                
                // 校验通过后，将用户信息存入请求上下文，供后续接口使用
                Claims claims = Jwts.parser().setSigningKey(SECRET_KEY).parseClaimsJws(token).getBody();
                requestContext.setSecurityContext(new CustomSecurityContext(claims.getSubject()));
            } catch (JwtException | IllegalArgumentException e) {
                // token无效，返回401未授权
                requestContext.abortWith(Response.status(Response.Status.UNAUTHORIZED).build());
            }
        } else {
            // 无有效认证头，返回401
            requestContext.abortWith(Response.status(Response.Status.UNAUTHORIZED).build());
        }
    }
}

AngularJS端全局请求拦截器示例 #

angular.module('yourApp')
    .factory('authInterceptor', function($q, $localStorage, $location) {
        return {
            // 给每个请求添加token头
            request: function(config) {
                config.headers = config.headers || {};
                if ($localStorage.authToken) {
                    config.headers.Authorization = 'Bearer ' + $localStorage.authToken;
                }
                return config;
            },
            // 处理未授权响应
            responseError: function(response) {
                if (response.status === 401) {
                    $localStorage.removeItem('authToken');
                    $location.path('/login');
                }
                return $q.reject(response);
            }
        };
    })
    .config(function($httpProvider) {
        // 注册拦截器
        $httpProvider.interceptors.push('authInterceptor');
    });

• 强制HTTPS：所有认证相关的请求必须通过HTTPS传输，防止凭证或token被明文窃取。
• 敏感信息保护：JWT里不要存放密码等敏感数据，因为JWT是Base64编码（可解码），只是无法篡改（密钥安全前提下）。
• 客户端凭证存储：AngularJS里用$localStorage或sessionStorage存token时，要注意防范XSS攻击；如果用cookie存储，一定要开启HttpOnly和Secure属性。
• 异常处理：服务器端要返回明确的HTTP状态码（401未授权、403禁止访问），客户端根据状态码做对应的跳转或提示。

内容的提问来源于stack exchange，提问作者Александр Перепечаев