Comment concevoir un système d'authentification et d'autorisation pour L'application REST backend / Ajax front End

je commence un nouveau projet où nous planifions de construire une fin arrière reposante et une fin de police AJAX. J'aborde le problème en me concentrant sur L'identification de toutes les ressources que j'ai et ce que les différents verbes HTTP vont faire eux, leur URI et les représentations JSON de ces ressources.

je suis à la recherche du meilleur design pour sécuriser le support. Voici la liste des dessins que j'ai considérés. Je suis à la recherche d'autres modèles non énumérés ci-dessous, et pour, contre recommandation. Le système sera mis en œuvre avec Spring 3.0 et peut-être Spring Security 3.0, SSL sera utilisé pour de nombreuses parties du système, mais pas pour toutes, de sorte que certaines requêtes peuvent venir sur SSL et d'autres pas.

Option 1: Utilisez la session HTTP

afficher un écran de connexion standard, créer une session côté serveur et laisser tomcat renvoyer un cookie jsessionid et demander au client ajax d'inclure le cookie JSESSIONID sur chaque requête XHR. Cette option se sent juste comme c'est la mauvaise approche pour les raisons suivantes.

• la connexion devient statefull ce qui est contraire aux règles du repos
• je veux pouvoir diviser le bakcend en plusieurs fichiers de guerre séparés, ce qui signifie que je pourrais avoir plusieurs sessions HTTP sur le backend, si c'est le cas, alors cette approche ne fonctionne pas. Bien que je n'ai pas besoin de la capacité de diviser le backend en plusieurs applications aujourd'hui, je préférerais un design qui permet que possibilité.

Option 2: Trouver une bibliothèque de sécurité open source basée sur Java qui fait cela

en dehors de la sécurité de printemps je n'ai pas trouvé d'autres bibliothèques Java, toutes les recommandations sont très appréciées.

Option 3: Essayez d'utiliser un protocole existant comme OAuth

dans mon très bref regard sur OAuth il semble qu'il est conçu pour l'authentification à travers les sites où chaque site a sa propre base de données utilisateur. Dans ce système, je veux un mondial base de données utilisateur partagée à travers tous les services ajax backend.

Option 4: Utiliser SAML et Shiboleth

cette option semble très complexe à configurer et à maintenir.

Option 5: Envoyer le nom d'utilisateur et le mot de passe avec chaque demande

cela nécessite que l'utilisateur envoie son nom d'utilisateur et mot de passe avec chaque demande, ce qui signifie que L'application AJAX front end doit stocker le nom d'utilisateur et mot de passe comme un objet JavaScript et si l'utilisateur navigue loin de la page, puis retour le combo nom d'utilisateur/mot de passe sera disparu et l'utilisateur pourrait être forcé de se connecter à nouveau. Je ne veux pas que le front end essaye de mettre le nom d'utilisateur et le mot de passe dans le cookie car cela comprendrait la sécurité.

Option 6: implémenter mon propre protocole d'Authentification / autorisation

créer un service de repos que les utilisateurs peuvent présenter leur combinaison de nom d'utilisateur / mot de passe, puis récupérer et token de sécurité, qu'ils doivent renvoyer au service avec chaque demande. Le jeton de sécurité serait signé numériquement par le service et ont une date d'expiration. Le token ne serait valable que pour la plupart des opérations les opérations de haute sécurité nécessiteraient un nouvel écran de connexion comme port de confirmation de l'opération.

le problème avec cette approche est que je dois inventer encore un autre protocole de sécurité qui semble être une totale perte de temps.

je suis sûr que je ne suis pas la seule personne contre ce problème, j'espère que la pile débordement la communauté des outils et des options que je n'ai pas encore trouvé.