Basic认证方式访问url

今天做不成的事，明天也不会做好。

---

同学们，今天我们来了解一下Basic认证。Basic认证在访问WebApi时需要验证账号密码，它是最基础的验证之一。通常我们裸奔一个服务的url，如果被别有用心的人拿到了，那么他就能无限调用接口操作数据库/获取数据，后果可以想象。同时认证可以有效保证数据安全。好了，废话不多说，咋们进入正题。

1.Basic认证介绍

1.1 常见身份验证方式

1.时间戳/密文传递验证
2.通过token验证
3.basic认证
……
无论是哪种方式，都是为了保证url的安全性，这个可以根据密级的提高采用不同的方式，同时还有一些其他的身份认证方式，大家有兴趣可以去研究。

1.2 Bacic认证概述

在HTTP协议进行通信的过程中，HTTP协议定义了基本认证过程以允许HTTP服务器对WEB浏览器进行用户身份证的方法，当一个客户端向HTTP服务 器进行数据请求时，如果客户端未被认证，则HTTP服务器将通过基本认证过程对客户端的用户名及密码进行验证，以决定用户是否合法。客户端在接收到HTTP服务器的身份认证要求后，会提示用户输入用户名及密码，然后将用户名及密码以BASE64加密，加密后的密文将附加于请求信息中， 如当用户名为anjuta，密码为：123456时，客户端将用户名和密码用“：”合并，并将合并后的字符串用BASE64加密为密文，并于每次请求数据 时，将密文附加于请求头（Request Header）中。HTTP服务器在每次收到请求包后，根据协议取得客户端附加的用户信息（BASE64加密的用户名和密码），解开请求包，对用户名及密码进行验证，
如果用 户名及密码正确，则根据客户端请求，返回客户端所需要的数据;否则，返回错误代码或重新要求客户端提供用户名及密码。
--简单说就是，服务器每次会从请求的客户端的请求头中获取"Authorization"这个请求参数里面的密文去验证。客户端请求参数添加如下:将账号密码通过':'拼接成字符串(密码在后),然后通过Base64编码后再给前面拼接'Basic '字符串。服务端获取到这个密文后，通过Base64解码并验证。--

1.3 Basic认证的缺点

HTTP基本认证的目标是提供简单的用户验证功能，其认证过程简单明了，适合于对安全性要求不高的系统或设备中，如大家所用路由器的配置页面的认证，几乎都采取了这种方式。其缺点是没有灵活可靠的认证策略，如无法提供域（domain或realm）认证功能，另外，BASE64的加密强度非常低，可以说仅能防止sohu的搜索把它搜到了。当然，HTTP基本认证系统也可以与SSL或者Kerberos结合，实现安全性能较高（相对）的认证系统

2.Basic认证的客户端实现

2.1 纯ajax实现

        var auth = "Basic " + btoa("BD_CONNECT" + ":" + "xxxx@")

        $.ajax({
            type: "POST",
            url: "http://xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx",
            dataType: 'jsonp',
            async: false,
//            beforeSend:function(req){
//                req.setRequestHeader('Authorization', "Basic QkRfQ09OTkVDVDpiZ3kyMDE4QA==")
//            },
            headers: {
                "Authorization": auth
            },
            data:{"param":"param"},
            success: function (data){
                alert(data);
            }
        });

这里需要注意的有两点:
1.dataType里面的json格式需要换成jsonp的传输协议，以解决跨域的问题。同时不要把json和jsonp混为一谈。
2.auth参数就是经过Base64加密的密文，js自带的btoa()方法作用是把参数进行Base64加密。

实际上我用这个方法访问失败了，貌似时Authorization一直不能放到请求头里面，或者说是不能被解析，反正就是一直要我手动输入账号密码，还希望有懂的大神来为我解析一下，感激不尽。
因此才有了下面的java实现方式！

2.2 JAVA实现

DataOutputStream out = null;
        BufferedReader in = null;
        String result = "";
        try {
            URL realUrl = new URL("http://xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx");
            HttpURLConnection conn = (HttpURLConnection) realUrl.openConnection();
            //conn.setConnectTimeout(5000);
            String plainCredentials = "BD_CONNECT:xxxx@";
            String base64Credentials = new String(Base64.encodeBase64(plainCredentials.getBytes()));
            conn.setRequestProperty("Authorization", "Basic " + base64Credentials);
//            conn.setRequestProperty("Content-type", "text/plain");
//            conn.setRequestProperty("Origin", "chrome-extension://aejoelaoggembcahagimdiliamlcdmfm");
//            conn.setRequestProperty("Accept", "*/*");
//            conn.setRequestProperty("connection", "Keep-Alive");
//            conn.setRequestProperty("user-agent", "Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.1;SV1)");
            conn.setDoOutput(true);//需要输出
            conn.setDoInput(true);//需要输入
            conn.setRequestMethod("POST");
            // Post 请求不能使用缓存
            conn.setUseCaches(false);
//            conn.connect();

            // 此处getOutputStream会隐含的进行connect(即：如同调用上面的connect()方法，
            // 所以在开发中不调用上述的connect()也可以)。
            OutputStream outStrm = conn.getOutputStream();
            out = new DataOutputStream(outStrm);
            // 向对象输出流写出数据，这些数据将存到内存缓冲区中
            out.writeBytes(param);

            // 刷新对象输出流，将任何字节都写入潜在的流中（些处为ObjectOutputStream）
            out.flush();
            // 关闭流对象。此时，不能再向对象输出流写入任何数据，先前写入的数据存在于内存缓冲区中,
            // 在调用下边的getInputStream()函数时才把准备好的http请求正式发送到服务器
            out.close();

            // 调用HttpURLConnection连接对象的getInputStream()函数,
            // 将内存缓冲区中封装好的完整的HTTP请求电文发送到服务端。
            InputStream inStrm = conn.getInputStream(); // <===注意，实际发送请求的代码段就在这里

            // 上边的httpConn.getInputStream()方法已调用,本次HTTP请求已结束,下边向对象输出流的输出已无意义，
            // 既使对象输出流没有调用close()方法，下边的操作也不会向对象输出流写入任何数据.
            // 因此，要重新发送数据时需要重新创建连接、重新设参数、重新创建流对象、重新写数据、
            // 重新发送数据(至于是否不用重新这些操作需要再研究)
//            objOutputStrm.writeObject(new String(""));
//            conn.getInputStream();

            in = new BufferedReader(new InputStreamReader(inStrm));
            String line;
            while ((line = in.readLine()) != null) {
                result += line;
            }
        } catch (Exception e) {
            e.printStackTrace();
        } finally {
            try {
                out.close();
                in.close();
            } catch (IOException ex) {
                ex.printStackTrace();
            }
        }
        return result;

这一段代码我成功了，这是我从网上整合了多篇文章的代码，因为每篇文章的代码都有缺陷，同时上面的注释都很完整：
1.输出流使用DataOutputStream而不是用ObjectOutputStream，这样解决了传参时后在头部加上乱码的错误。
2.使用完了记得关闭流，你的内存不是无限的。

说到这，Basic认证客户端使用方式就说完了。下面来看看服务端的使用！

3.Basic认证的服务端实现

HttpSession session=request.getSession();
         String user=(String)session.getAttribute("user");
         String pass;
         if(user==null){
             try{
                response.setCharacterEncoding("GBK");
                PrintWriter ut=response.getWriter();
                String authorization=request.getHeader("authorization");
                if(authorization==null||authorization.equals("")){
                    response.setStatus(401);
                    response.setHeader("WWW-authenticate","Basic realm=\"请输入管理员密码\"");
                    out.print("对不起你没有权限！！");
                    return;
                }
                String userAndPass=new String(new BASE64Decoder().decodeBuffer(authorization.split(" ")[1]));
                if(userAndPass.split(":").length<2){
                    response.setStatus(401);
                    response.setHeader("WWW-authenticate","Basic realm=\"请输入管理员密码\"");
                    out.print("对不起你没有权限！！");
                    return;
                }
                user=userAndPass.split(":")[0];
                pass=userAndPass.split(":")[1];
                if(user.equals("111")&&pass.equals("111")){
                    session.setAttribute("user",user);
                    RequestDispatcher dispatcher=request.getRequestDispatcher("index.jsp");
                    dispatcher.forward(request,response);
                }else{
                    response.setStatus(401);
                    response.setHeader("WWW-authenticate","Basic realm=\"请输入管理员密码\"");
                    out.print("对不起你没有权限！！");
                    return;
                }
             }catch(Exception ex){
                ex.printStackTrace();
             }
         }else{
             RequestDispatcher dispatcher=request.getRequestDispatcher("index.jsp");
             dispatcher.forward(request,response);
       }

建议同学们可以把这一段单独抽离出来，可以作为aop的前置增强，每一次执行方法前进行调用。