Autentisering på java-server

[ti-guru]

Hei,

 

Jeg trenger råd og tips angående implementering av autentisering i en applikasjon som kjører på en servlet container. Applikasjonen er skrevet med GWT front-end og java+hibernate back-end, og har derfor noen url'er som må beskyttes. Autentisering er noe jeg foreløpig kan lite om og lurer derfor på følgende:

 

- Hvor finner man de gode, konsise(!) ressursene ift autentisering?

- Hvilke ulike alternativer for autentisering finnes og hvilket sikkerhetsnivå gir de deg?

- Kan man programmere mot et felles interface slik at autentiseringen kan byttes ut senere dersom jeg skulle trenge en annen?

- Kan man holde autentiseringskoden utenfor selve applikasjonen?

- Noen rammeverk som er spesielt anbefalt eller som er enkle å sette opp?

 

Andre ting jeg burde lure på/spørre om?

 

Takk for svar!

Endret 18. juli 2011 av ti-guru

[Hieronymus]

Jeg har ikke tid til å svare inngående på spørsmålene dine, men det kan se ut som om Spring Security kan være det du trenger.

 

http://static.springsource.org/spring-security/site/

[ti-guru]

Jeg har ikke tid til å svare inngående på spørsmålene dine, men det kan se ut som om Spring Security kan være det du trenger.

 

http://static.springsource.org/spring-security/site/

 

Stemmer! Har kikket raskt på Spring tidligere. Er det slik at man i stor grad klarer seg med et filter som prosesserer alle forespørsler til serveren uten å forsøple resten av applikasjonen med autentiseringskode? I hvilken grad kan en Spring-implementering byttes ut med annen autentisering senere, jmf ift BankID eller BuyPass osv?

Endret 19. juli 2011 av ti-guru

[_Xorcist]

Hei,

 

Jeg trenger råd og tips angående implementering av autentisering i en applikasjon som kjører på en servlet container. Applikasjonen er skrevet med GWT front-end og java+hibernate back-end, og har derfor noen url'er som må beskyttes. Autentisering er noe jeg foreløpig kan lite om og lurer derfor på følgende:

 

- Hvor finner man de gode, konsise(!) ressursene ift autentisering?

- Hvilke ulike alternativer for autentisering finnes og hvilket sikkerhetsnivå gir de deg?

- Kan man programmere mot et felles interface slik at autentiseringen kan byttes ut senere dersom jeg skulle trenge en annen?

- Kan man holde autentiseringskoden utenfor selve applikasjonen?

- Noen rammeverk som er spesielt anbefalt eller som er enkle å sette opp?

 

Andre ting jeg burde lure på/spørre om?

 

Takk for svar!

 

Dette er selvfølgelig sent, men dette er bygget inn i JEE-spesifikasjonen som applikasjonsserveren implementerer. Du skriver riktignok at du bare bruker en servlet container (men ikke hvilken) så det er mulig at dette ikke er støttet, men det er noen ganske greie eksempler i JEE Tutorial:

 

http://download.oracle.com/javaee/5/tutorial/doc/bncbx.html

[ti-guru]

 

 

Hei,

 

Jeg trenger råd og tips angående implementering av autentisering i en applikasjon som kjører på en servlet container. Applikasjonen er skrevet med GWT front-end og java+hibernate back-end, og har derfor noen url'er som må beskyttes. Autentisering er noe jeg foreløpig kan lite om og lurer derfor på følgende:

 

- Hvor finner man de gode, konsise(!) ressursene ift autentisering?

- Hvilke ulike alternativer for autentisering finnes og hvilket sikkerhetsnivå gir de deg?

- Kan man programmere mot et felles interface slik at autentiseringen kan byttes ut senere dersom jeg skulle trenge en annen?

- Kan man holde autentiseringskoden utenfor selve applikasjonen?

- Noen rammeverk som er spesielt anbefalt eller som er enkle å sette opp?

 

Andre ting jeg burde lure på/spørre om?

 

Takk for svar!

 

 

 

Dette er selvfølgelig sent, men dette er bygget inn i JEE-spesifikasjonen som applikasjonsserveren implementerer. Du skriver riktignok at du bare bruker en servlet container (men ikke hvilken) så det er mulig at dette ikke er støttet, men det er noen ganske greie eksempler i JEE Tutorial:

 

http://download.oracle.com/javaee/5/tutorial/doc/bncbx.html

 

Absolutt ikke for sent! Har kikket en del på Spring Security i mellomtiden. Fikk greit til å sikre url'ene, så neste steg blir å sikre 'kommandoene' til serveren. Virker ganske greit at autentiseringen er uavhengig av øvrig applikasjon.

 

Ut av ren nysgjerrighet; hvordan gjør de store gutta dette i 'industrien'?

Endret 22. august 2011 av ti-guru