在现代网络应用中，认证机制是保护资源不被未授权访问的重要手段之一。HTTP Basic认证是一种简单而广泛使用的认证方式，它通过在HTTP请求头中传递Base64编码的用户名和密码来实现对资源的访问控制。本文将通过一个完整的Java实现案例，详细介绍HTTP Basic认证的工作原理及其在Java中的应用。
HTTP Basic认证的工作原理
HTTP Basic认证的核心思想是：客户端在请求受保护资源时，需要在HTTP请求头中携带一个Authorization字段，该字段的值为Basic加上一个空格，以及经过Base64编码的用户名和密码组合。例如，如果用户名为Tom，密码为abc，那么Authorization字段的值将是：
Authorization: Basic VG9tOmFiYw==
如果客户端未提供正确的认证信息，服务器会返回一个401状态码（Unauthorized），并在响应头中包含一个WWW-Authenticate字段，指示客户端需要进行Basic认证：
WWW-Authenticate: Basic realm="employee-realm"
Java实现HTTP Basic认证
为了更好地理解HTTP Basic认证，我们将通过一个简单的Java Web应用来实现一个受保护的资源，并使用java.net.URLConnection来模拟客户端请求。
服务器端实现
我们使用Java Servlet和嵌入式Tomcat来实现一个简单的受保护资源。以下是完整的实现代码：
Servlet代码
java">package com.logicbig.example;import javax.servlet.ServletException;
import javax.servlet.annotation.HttpConstraint;
import javax.servlet.annotation.HttpMethodConstraint;
import javax.servlet.annotation.ServletSecurity;
import javax.servlet.annotation.WebServlet;
import javax.servlet.http.HttpServlet;
import javax.servlet.http.HttpServletRequest;
import javax.servlet.http.HttpServletResponse;
import java.io.IOException;
import java.io.PrintWriter;@WebServlet(name = "appController", urlPatterns = {"/"})
@ServletSecurity(value = @HttpConstraint(rolesAllowed = {"employee"}),httpMethodConstraints = {@HttpMethodConstraint(value = "GET", rolesAllowed = {"employee"})})
public class MyServlet extends HttpServlet {@Overrideprotected void doGet(HttpServletRequest req, HttpServletResponse resp)throws ServletException, IOException {PrintWriter writer = resp.getWriter();writer.println("User authorized= " + req.getUserPrincipal());}
}
web.xml配置
<web-app xmlns="http://xmlns.jcp.org/xml/ns/javaee"xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance"xsi:schemaLocation="http://xmlns.jcp.org/xml/ns/javaeehttp://xmlns.jcp.org/xml/ns/javaee/web-app_3_1.xsd" version="3.1"><login-config><auth-method>BASIC</auth-method><realm-name>employee-realm</realm-name></login-config>
</web-app>
Tomcat用户配置
在tomcat-users.xml中定义一个用户和角色：
<?xml version="1.0" encoding="UTF-8"?>
<tomcat-users><role rolename="employee"/><user username="Tom" password="abc" roles="employee"/>
</tomcat-users>
客户端实现
接下来，我们使用java.net.URLConnection来模拟客户端请求。首先，尝试不带认证信息访问受保护资源：
未认证的客户端代码
java">package com.logicbig.example;import java.io.BufferedReader;
import java.io.InputStreamReader;
import java.net.URL;
import java.net.URLConnection;
import java.util.List;
import java.util.Map;public class URLConnectionClient {public static void main(String[] args) throws Exception {URL myURL = new URL("http://localhost:8080");URLConnection c = myURL.openConnection();Map<String, List<String>> headers = c.getHeaderFields();System.out.println("-- Response headers --");headers.entrySet().forEach(e -> System.out.printf("%s: %s%n", e.getKey(), e.getValue()));System.out.println("-- Response body --");try (BufferedReader reader = new BufferedReader(new InputStreamReader(c.getInputStream()))) {reader.lines().forEach(System.out::println);}}
}
运行该代码后，服务器会返回401状态码，并提示需要认证：
-- Response headers --
null: [HTTP/1.1 401 Unauthorized]
WWW-Authenticate: [Basic realm="employee-realm"]
-- Response body --
Exception in thread "main" java.io.IOException: Server returned HTTP response code: 401 for URL: http://localhost:8080
带认证信息的客户端代码
接下来，我们在客户端代码中添加认证信息：
java">package com.logicbig.example;import java.io.BufferedReader;
import java.io.InputStreamReader;
import java.net.URL;
import java.net.URLConnection;
import java.util.Base64;
import java.util.List;
import java.util.Map;public class URLConnectionClient2 {public static void main(String[] args) throws Exception {URL myURL = new URL("http://localhost:8080");URLConnection c = myURL.openConnection();String authStr = Base64.getEncoder().encodeToString("Tom:abc".getBytes());c.setRequestProperty("Authorization", "Basic " + authStr);Map<String, List<String>> headers = c.getHeaderFields();System.out.println("-- Response headers --");headers.entrySet().forEach(e -> System.out.printf("%s: %s%n", e.getKey(), e.getValue()));System.out.println("-- Response body --");try (BufferedReader reader = new BufferedReader(new InputStreamReader(c.getInputStream()))) {reader.lines().forEach(System.out::println);}}
}
运行该代码后，服务器会返回200状态码，并显示用户已认证：
-- Response headers --
null: [HTTP/1.1 200 OK]
-- Response body --
User authorized= GenericPrincipal[Tom(employee,)]
总结
通过上述示例，我们可以看到HTTP Basic认证的实现相对简单，但它也有明显的缺点，例如用户名和密码以明文形式在网络中传输，因此在实际应用中通常需要结合HTTPS来增强安全性。此外，Java提供了强大的API支持，使得在Java应用中实现HTTP Basic认证变得非常容易。希望本文能帮助你更好地理解HTTP Basic认证及其在Java中的应用。
