java做RESTful Web Service（API）如何解决验证的问题

Question

REST 服务的安全，一般依赖于HTTP认证，HTTP认证有几种：basic，digest，token，这些都有标准的实现的开源包需要主要的是这个认证的帐号跟你业务的帐户实际是不一样的，REST属于webService一种，他的安全是后台服务的安全，因此不需要实际的业务帐号，通常是系统keyStore证书库里的账户

Answer 1

RESTFul url也可以用session进行验证啊。加个filter过滤一下需要验证的URL，或者直接在你的rest action里验证。

Answer 2

我用Shiro，很好用，是一个使用简单，功能强大的安全验证框架。

Answer 3

验证可以单独作为一个前置服务做，比如可以借助ldap等。

Answer 4

RESTFul url也可以用session进行验证啊。加个filter过滤一下需要验证的URL，或者直接在你的rest action里验证。这样岂不是每个请求都要附加用户信息？？未免效率太低了吧

Answer 5

哦？shiro还可以用来验证restful的服务？请问前辈可以给个简单的代码例子吗？拜谢！

Answer 6

RESTFul与服务没有关系？
REST的本质是设计风格，不是技术。REST的URL还是个URL，就是个普通的URL，访问这个URL的时候，先被Servlet Filter(即Shiro 的Filter) 拦截住，判断你有没有登录，权限等，如果没有就不让访问，如果有就进入Dispatcher进入对应的处理流程。Shiro可以用在Web，非Web环境。
看Shiro的例子 http://www.iteye.com/blogs/subjects/shiro

Answer 7

RESTFul url也可以用session进行验证啊。加个filter过滤一下需要验证的URL，或者直接在你的rest action里验证。这样岂不是每个请求都要附加用户信息？？未免效率太低了吧session是附加在cookie上的，对你应用来说是透明的。你用框架，基本上也是用这个机制实现的