HttpClient 教程 (四)

第四章 HTTP認證

HttpClient提供對由HTTP標準規(guī)范定義的認證模式的完全支持。HttpClient的認證框架可以擴展支持非標準的認證模式，比如NTLM和SPNEGO。

4.1 用戶憑證

任何用戶身份驗證的過程都需要一組可以用于建立用戶身份的憑據(jù)。用戶憑證的最簡單的形式可以僅僅是用戶名/密碼對。UsernamePasswordCredentials代表了一組包含安全規(guī)則和明文密碼的憑據(jù)。這個實現(xiàn)對由HTTP標準規(guī)范中定義的標準認證模式是足夠的

UsernamePasswordCredentials creds = new UsernamePasswordCredentials("user", "pwd");

System.out.println(creds.getUserPrincipal().getName());

System.out.println(creds.getPassword());

輸出內(nèi)容為：

user

pwd

NTCredentials是微軟Windows指定的實現(xiàn)，它包含了除了用戶名/密碼對外，一組額外的Windows指定的屬性，比如用戶域名的名字，比如在微軟的Windows網(wǎng)絡中，相同的用戶使用不同設置的認證可以屬于不同的域。

NTCredentials creds = new NTCredentials("user", "pwd", "workstation", "domain");

System.out.println(creds.getUserPrincipal().getName());

System.out.println(creds.getPassword());

輸出內(nèi)容為：

DOMAIN/user

pwd

4.2 認證模式

AuthScheme接口代表了抽象的，面向挑戰(zhàn)-響應的認證模式。一個認證模式期望支持如下的功能：

解析和處理由目標服務器在對受保護資源請求的響應中發(fā)回的挑戰(zhàn)。

提供處理挑戰(zhàn)的屬性：認證模式類型和它的參數(shù)，如果可用，比如這個認證模型可應用的領域。

對給定的憑證組和HTTP請求對響應真實認證挑戰(zhàn)生成認證字符串。

要注意認證模式可能是有狀態(tài)的，涉及一系列的挑戰(zhàn)-響應交流。HttpClient附帶了一些AuthScheme實現(xiàn)：

Basic（基本）：Basic認證模式定義在RFC 2617中。這個認證模式是不安全的，因為憑據(jù)以明文形式傳送。盡管它不安全，如果用在和TLS/SSL加密的組合中，Basic認證模式是完全夠用的。

Digest（摘要）：Digest認證模式定義在RFC 2617中。Digest認證模式比Basic有顯著的安全提升，對不想通過TLS/SL加密在完全運輸安全上開銷的應用程序來說也是很好的選擇。

NTLM：NTLM是一個由微軟開發(fā)的優(yōu)化Windows平臺的專有認證模式。NTLM被認為是比Digest更安全的模式。這個模式需要外部的NTLM引擎來工作。要獲取更多詳情請參考包含在HttpClient發(fā)布包中的NTLM_SUPPORT.txt文檔。

4.3 HTTP認證參數(shù)

有一些可以用于定制HTTP認證過程和獨立認證模式行為的參數(shù)：

'http.protocol.handle-authentication'：定義了是否認證應該被自動處理。這個參數(shù)期望的得到一個java.lang.Boolean類型的值。如果這個參數(shù)沒有被設置，HttpClient將會自動處理認證。

'http.auth.credential-charset'：定義了當編碼用戶憑證時使用的字符集。這個參數(shù)期望得到一個java.lang.String類型的值。如果這個參數(shù)沒有被設置，那么就會使用US-ASCII。

4.4 認證模式注冊表

HttpClient使用AuthSchemeRegistry類維護一個可用的認證模式的注冊表。對于每個默認的下面的模式是注冊過的：

Basic：基本認證模式

Digest：摘要認證模式

請注意NTLM模式?jīng)]有對每個默認的進行注冊。NTLM不能對每個默認開啟是應為許可和法律上的原因。要獲取更詳細的關于如何開啟NTLM支持的內(nèi)容請看這部分。

4.5 憑據(jù)提供器

憑據(jù)提供器意來維護一組用戶憑據(jù)，還有能夠對特定認證范圍生產(chǎn)用戶憑據(jù)。認證范圍包括主機名，端口號，領域名稱和認證模式名稱。當使用憑據(jù)提供器來注冊憑據(jù)時，我們可以提供一個通配符（任意主機，任意端口，任意領域，任意模式）來替代確定的屬性值。如果直接匹配沒有發(fā)現(xiàn)，憑據(jù)提供器期望被用來發(fā)現(xiàn)最匹配的特定范圍。

HttpClient可以和任意實現(xiàn)了CredentialsProvider接口的憑據(jù)提供器的物理代表一同工作。默認的CredentialsProvider實現(xiàn)被稱為BasicCredentialsProvider，它是簡單的憑借java.util.HashMap的實現(xiàn)。

CredentialsProvider credsProvider = new BasicCredentialsProvider();

credsProvider.setCredentials(

new AuthScope("somehost", AuthScope.ANY_PORT),

new UsernamePasswordCredentials("u1", "p1"));

credsProvider.setCredentials(

new AuthScope("somehost", 8080),

new UsernamePasswordCredentials("u2", "p2"));

credsProvider.setCredentials(

new AuthScope("otherhost", 8080, AuthScope.ANY_REALM, "ntlm"),

new UsernamePasswordCredentials("u3", "p3"));

System.out.println(credsProvider.getCredentials(

new AuthScope("somehost", 80, "realm", "basic")));

System.out.println(credsProvider.getCredentials(

new AuthScope("somehost", 8080, "realm", "basic")));

System.out.println(credsProvider.getCredentials(

new AuthScope("otherhost", 8080, "realm", "basic")));

System.out.println(credsProvider.getCredentials(

new AuthScope("otherhost", 8080, null, "ntlm")));

輸出內(nèi)容為：

[principal: u1]

[principal: u2]

null

[principal: u3]

4.6 HTTP認證和執(zhí)行上下文

HttpClient依賴于AuthState類來跟蹤關于認證過程狀態(tài)的詳細信息。在HTTP請求執(zhí)行過程中，HttpClient創(chuàng)建2個AuthState的實例：一個對于目標主機認證，另外一個對于代理認證。如果目標服務器或代理需要用戶認證，那么各自的AuthState實例將會被在認證處理過程中使用的AuthScope，AuthScheme和Crednetials來填充。AuthState可以被檢查來找出請求的認證是什么類型的，是否匹配AuthScheme的實現(xiàn)，是否憑據(jù)提供器對給定的認證范圍去找用戶憑據(jù)。

在HTTP請求執(zhí)行的過程中，HttpClient添加了下列和認證相關的對象到執(zhí)行上下文中：

'http.authscheme-registry'：AuthSchemeRegistry實例代表真實的認證模式注冊表。在本地內(nèi)容中設置的這個屬性的值優(yōu)先于默認的。

'http.auth.credentials-provider'：CookieSpec實例代表了真實的憑據(jù)提供器。在本地內(nèi)容中設置的這個屬性的值優(yōu)先于默認的。

'http.auth.target-scope'：AuthState實例代表了真實的目標認證狀態(tài)。在本地內(nèi)容中設置的這個屬性的值優(yōu)先于默認的。

'http.auth.proxy-scope'：AuthState實例代表了真實的代理認證狀態(tài)。在本地內(nèi)容中設置的這個屬性的值優(yōu)先于默認的。

本地的HttpContext對象可以用于定制HTTP認證內(nèi)容，并先于請求執(zhí)行或在請求被執(zhí)行之后檢查它的狀態(tài)：

HttpClient httpclient = new DefaultHttpClient();

HttpContext localContext = new BasicHttpContext();

HttpGet httpget = new HttpGet("http://localhost:8080/");

HttpResponse response = httpclient.execute(httpget, localContext);

AuthState proxyAuthState = (AuthState) localContext.getAttribute(

ClientContext.PROXY_AUTH_STATE);

System.out.println("Proxy auth scope: " + proxyAuthState.getAuthScope());

System.out.println("Proxy auth scheme: " + proxyAuthState.getAuthScheme());

System.out.println("Proxy auth credentials: " + proxyAuthState.getCredentials());

AuthState targetAuthState = (AuthState) localContext.getAttribute(

ClientContext.TARGET_AUTH_STATE);

System.out.println("Target auth scope: " + targetAuthState.getAuthScope());

System.out.println("Target auth scheme: " + targetAuthState.getAuthScheme());

System.out.println("Target auth credentials: " + targetAuthState.getCredentials());

4.7 搶占認證

HttpClient不支持開箱的搶占認證，因為濫用或重用不正確的搶占認證可能會導致嚴重的安全問題，比如將用戶憑據(jù)以明文形式發(fā)送給未認證的第三方。因此，用戶期望評估搶占認證和在它們只能應用程序環(huán)境內(nèi)容安全風險潛在的好處，而且要求使用如協(xié)議攔截器的標準HttpClient擴展機制添加對搶占認證的支持。

這是一個簡單的協(xié)議攔截器，如果沒有企圖認證，來搶先引入BasicScheme的實例到執(zhí)行上下文中。請注意攔截器必須在標準認證攔截器之前加入到協(xié)議處理鏈中。

HttpRequestInterceptor preemptiveAuth = new HttpRequestInterceptor() {

public void process(final HttpRequest request,

final HttpContext context) throws HttpException, IOException {

AuthState authState = (AuthState) context.getAttribute(

ClientContext.TARGET_AUTH_STATE);

CredentialsProvider credsProvider = (CredentialsProvider) context.getAttribute(ClientContext.CREDS_PROVIDER);

HttpHost targetHost = (HttpHost) context.getAttribute(

ExecutionContext.HTTP_TARGET_HOST);

// 如果沒有初始化auth模式

if (authState.getAuthScheme() == null) {

AuthScope authScope = new AuthScope(

targetHost.getHostName(),

targetHost.getPort());

// 獲得匹配目標主機的憑據(jù)

Credentials creds = credsProvider.getCredentials(authScope);

// 如果發(fā)現(xiàn)了，搶先生成BasicScheme

if (creds != null) {

authState.setAuthScheme(new BasicScheme());

authState.setCredentials(creds);

}

}

}

};

DefaultHttpClient httpclient = new DefaultHttpClient();

// 作為第一個攔截器加入到協(xié)議鏈中

httpclient.addRequestInterceptor(preemptiveAuth, 0);

4.8 NTLM 認證

當前HttpClient沒有提對開箱的NTLM認證模式的支持也可能永遠也不會。這個原因是法律上的而不是技術上的。然而，NTLM認證可以使用外部的NTLM引擎比如JCIFS[http://jcifs.samba.org/]來開啟，類庫由Samba[http://www.samba.org/]項目開發(fā)，作為它們Windows的交互操作程序套裝的一部分。要獲取詳細內(nèi)容請參考HttpClient發(fā)行包中包含的NTLM_SUPPORT.txt文檔。

4.8.1 NTLM連接持久化

NTLM認證模式是在計算開銷方面昂貴的多的，而且對標準的Basic和Digest模式的性能影響也很大。這很可能是為什么微軟選擇NTLM認證模式為有狀態(tài)的主要原因之一。也就是說，一旦認證通過，用戶標識是和連接的整個生命周期相關聯(lián)的。NTLM連接的狀態(tài)特性使得連接持久化非常復雜，對于明顯的原因，持久化NTLM連接不能被使用不同用戶標識的用戶重用。標準的連接管理器附帶HttpClient是完全能夠管理狀態(tài)連接的。而邏輯相關的，使用同一session和執(zhí)行上下文為了讓它們了解到當前的用戶標識的請求也是極為重要的。否則，HttpClient將會終止對每個基于NTLM保護資源的HTTP請求創(chuàng)建新的HTTP連接。要獲取關于有狀態(tài)的HTTP連接的詳細討論，請參考這個部分。

因為NTLM連接是有狀態(tài)的，通常建議使用相對簡單的方法觸發(fā)NTLM認證，比如GET或HEAD，而重用相同的連接來執(zhí)行代價更大的方法，特別是它們包含請求實體，比如POST或PUT。

DefaultHttpClient httpclient = new DefaultHttpClient();

NTCredentials creds = new NTCredentials("user", "pwd", "myworkstation", "microsoft.com");

httpclient.getCredentialsProvider().setCredentials(AuthScope.ANY, creds);

HttpHost target = new HttpHost("www.microsoft.com", 80, "http");

// 保證相同的內(nèi)容來用于執(zhí)行邏輯相關的請求

HttpContext localContext = new BasicHttpContext();

// 首先執(zhí)行簡便的方法。這會觸發(fā)NTLM認證

HttpGet httpget = new HttpGet("/ntlm-protected/info");

HttpResponse response1 = httpclient.execute(target, httpget, localContext);

HttpEntity entity1 = response1.getEntity();

if (entity1 != null) {

entity1.consumeContent();

}

//之后使用相同的內(nèi)容（和連接）執(zhí)行開銷大的方法。

HttpPost httppost = new HttpPost("/ntlm-protected/form");

httppost.setEntity(new StringEntity("lots and lots of data"));

HttpResponse response2 = httpclient.execute(target, httppost, localContext);

HttpEntity entity2 = response2.getEntity();

if (entity2 != null) {

entity2.consumeContent();

}

?著作權歸作者所有,轉載或內(nèi)容合作請聯(lián)系作者
  • 人面猴
    序言：七十年代末，一起剝皮案震驚了整個濱河市，隨后出現(xiàn)的幾起案子，更是在濱河造成了極大的恐慌，老刑警劉巖，帶你破解...
    沈念sama閱讀 227,533評論 6贊 531
  • 死咒
    序言：濱河連續(xù)發(fā)生了三起死亡事件，死亡現(xiàn)場離奇詭異，居然都是意外死亡，警方通過查閱死者的電腦和手機，發(fā)現(xiàn)死者居然都...
    沈念sama閱讀 98,055評論 3贊 414
  • 救了他兩次的神仙讓他今天三更去死
    文/潘曉璐 我一進店門，熙熙樓的掌柜王于貴愁眉苦臉地迎上來，“玉大人，你說我怎么就攤上這事?！?“怎么了？”我有些...
    開封第一講書人閱讀 175,365評論 0贊 373
  • 道士緝兇錄：失蹤的賣姜人
    文/不壞的土叔 我叫張陵，是天一觀的道長。 經(jīng)常有香客問我，道長，這世上最難降的妖魔是什么？ 我笑而不...
    開封第一講書人閱讀 62,561評論 1贊 307
  • ?港島之戀（遺憾婚禮）
    正文 為了忘掉前任，我火速辦了婚禮，結果婚禮上，老公的妹妹穿的比我還像新娘。我一直安慰自己，他們只是感情好，可當我...
    茶點故事閱讀 71,346評論 6贊 404
  • 惡毒庶女頂嫁案：這布局不是一般人想出來的
    文/花漫 我一把揭開白布。 她就那樣靜靜地躺著，像睡著了一般。 火紅的嫁衣襯著肌膚如雪。 梳的紋絲不亂的頭發(fā)上，一...
    開封第一講書人閱讀 54,889評論 1贊 321
  • 城市分裂傳說
    那天，我揣著相機與錄音，去河邊找鬼。 笑死，一個胖子當著我的面吹牛，可吹牛的內(nèi)容都是我干的。 我是一名探鬼主播，決...
    沈念sama閱讀 42,978評論 3贊 439
  • 雙鴛鴦連環(huán)套：你想象不到人心有多黑
    文/蒼蘭香墨 我猛地睜開眼，長吁一口氣：“原來是場噩夢啊……” “哼！你這毒婦竟也來了？” 一聲冷哼從身側響起，我...
    開封第一講書人閱讀 42,118評論 0贊 286
  • 萬榮殺人案實錄
    序言：老撾萬榮一對情侶失蹤，失蹤者是張志新（化名）和其女友劉穎，沒想到半個月后，有當?shù)厝嗽跇淞掷锇l(fā)現(xiàn)了一具尸體，經(jīng)...
    沈念sama閱讀 48,637評論 1贊 333
  • ?護林員之死
    正文 獨居荒郊野嶺守林人離奇死亡，尸身上長有42處帶血的膿包…… 初始之章·張勛 以下內(nèi)容為張勛視角 年9月15日...
    茶點故事閱讀 40,558評論 3贊 354
  • ?白月光啟示錄
    正文 我和宋清朗相戀三年，在試婚紗的時候發(fā)現(xiàn)自己被綠了。 大學時的朋友給我發(fā)了我未婚夫和他白月光在一起吃飯的照片。...
    茶點故事閱讀 42,739評論 1贊 369
  • 活死人
    序言：一個原本活蹦亂跳的男人離奇死亡，死狀恐怖，靈堂內(nèi)的尸體忽然破棺而出，到底是詐尸還是另有隱情，我是刑警寧澤，帶...
    沈念sama閱讀 38,246評論 5贊 355
  • ?日本核電站爆炸內(nèi)幕
    正文 年R本政府宣布，位于F島的核電站，受9級特大地震影響，放射性物質發(fā)生泄漏。R本人自食惡果不足惜，卻給世界環(huán)境...
    茶點故事閱讀 43,980評論 3贊 346
  • 男人毒藥：我在死后第九天來索命
    文/蒙蒙 一、第九天 我趴在偏房一處隱蔽的房頂上張望。 院中可真熱鬧，春花似錦、人聲如沸。這莊子的主人今日做“春日...
    開封第一講書人閱讀 34,362評論 0贊 25
  • 一樁弒父案，背后竟有這般陰謀
    文/蒼蘭香墨 我抬頭看了看天上的太陽。三九已至，卻和暖如春，著一層夾襖步出監(jiān)牢的瞬間，已是汗流浹背。 一陣腳步聲響...
    開封第一講書人閱讀 35,619評論 1贊 280
  • 情欲美人皮
    我被黑心中介騙來泰國打工， 沒想到剛下飛機就差點兒被人妖公主榨干…… 1. 我叫王不留，地道東北人。 一個月前我還...
    沈念sama閱讀 51,347評論 3贊 390
  • 代替公主和親
    正文 我出身青樓，卻偏偏與公主長得像，于是被迫代替她去往敵國和親。 傳聞我的和親對象是個殘疾皇子，可洞房花燭夜當晚...
    茶點故事閱讀 47,702評論 2贊 370

推薦閱讀更多精彩內(nèi)容

  • 今年的國慶沒有涌入人群中 待在家里看世界 剛好下個月同事搬新家 于是臨摹了一幅蘋果準備送她 寓意“平平安安” 希望...
    大雲(yún)DAYUN閱讀 381評論 0贊 1
  • 若想眾生相，即看本我相，洗不走俗塵，請洗掉你的基因，不脫胎也不換骨，只歸依心。
    深深是藍閱讀 217評論 1贊 4
  • 1 他：我家現(xiàn)在餛飩和茄餅都不放韭菜了。 她：為什么？ 他：因為，你不喜歡吃。 2 他：以前喜歡得瑟，有點事就愛滿...
    林陌鹿閱讀 575評論 2贊 11