jquery autenticazione cross domain

Question

Configuro il mio server Jetty per consentire le richieste http del dominio multiplo (allowedOrigins = *) e anche per consentire l'autenticazione cross-domain (allowCredentials = true) utilizzando il suo CrossOriginFilter. Le richieste http del dominio incrociato senza requisiti di autenticazione funzionano correttamente. Ora, quando si tratta di chiamate http che richiedono l'autenticazione, non funziona con JQuery. Io uso il seguente codice e seguito questo esempio: http://www.aswinanand.com/2009/01/http-basic-authentication-using-ajax/

function login(username, password) { 
$.ajax({ 
    type: "GET", 
    contentType: "application/json", 
    dataType: "json", 
    url: url, 
    beforeSend: function(xhr) { 
     var base64 = Base64.encode(username + ":" + password); 
     xhr.setRequestHeader("Authorization", "Basic " + base64); 
     xhr.withCredentials = true; 
    }, 
    error: function(data){ 
     alert("error"); 
    }, 
    success: function(data){ 
     alert("success"); 
    } 
}); 

In HttpFox vedo la seguente richiesta al server:

OPTIONS /login HTTP/1.1 
... 
Access-Control-Request-Method GET 
Access-Control-Request-Headers authorization,content-type 

Il server risponde con un

HTTP/1.1 204 No Content 
... 
Allow OPTIONS,GET,HEAD 

anche io usato le opzioni qui sotto, che non fa la differenza.

$.ajax({ 
    ... 
    username: username, 
    password: password, 
    ... 
} 

La funzione di errore si attiva sempre. Qualcuno ha un'idea di quale potrebbe essere il problema?

Answer 1

Come impostazione predefinita ammessi intestazioni sono

X-richiesta-Con, Content-Type, Accetta, Origin

ho dovuto aggiungere intestazioni

autorizzazione, tipo di contenuto

Abbiamo trovato questo tramite il file di log

DEBUG [2012-05-27 17:04 : 02.468] org.eclipse.jetty.servlets.CrossOriginFilter: le intestazioni [autorizzazione, tipo di contenuto] non sono tra le intestazioni consentite [X-Requested-With, Content-Type, Accept, Origin]

Grazie per tutti i suggerimenti!

Answer 2

Le intestazioni di risposta impostate nell'applicazione - quando la sicurezza non è abilitata 00 funziona correttamente, come attestato. Tuttavia, quando la sicurezza è abilitata, le richieste interdominio falliscono.

Ciò è probabilmente dovuto al filtro aggiuntivo e alle intestazioni di risposta aggiuntive impostate dal filtro di sicurezza per generare una risposta.

Per risolvere questo problema, la soluzione di alto livello è che è necessario impostare tuoi intestazioni di risposta prima del momento che il filtro di sicurezza definisce i suoi header di risposta e/o li impegna al cliente.

Stai anche utilizzando Jetty; pertanto, è possibile utilizzare Jetty Cross Origin Filter per assicurarsi che le intestazioni di risposta siano impostate nella catena Filtro nell'ordine in cui devono essere impostate:

Ecco un elenco di parametri che è possibile passare alla configurazione del filtro nel Web .xml:

• allowedOrigins, una virgola elenco di origine a cui è consentito di accedere alle risorse separato. Il valore predefinito è *, ovvero tutte le origini

• allowedMethods, un elenco separato da virgole di metodi HTTP che possono essere utilizzati durante l'accesso alle risorse. Il valore predefinito è GET, POST

• allowedHeaders, un elenco separato da virgole di intestazioni HTTP che possono essere specificate quando si accede alle risorse. Il valore predefinito è X-Requested-With

• preflightMaxAge, il numero di secondi che le richieste di verifica preliminare possono essere memorizzate nella cache dal client. Il valore predefinito è 1800 secondi o 30 minuti

• allowCredentials, un valore booleano che indica se la risorsa consente richieste con credenziali.Il valore predefinito è falso

Per impostazione predefinita, l'intestazione di risposta Origini ammessi è impostato su *, il che implica che per impostazione predefinita, ogni richiesta può essere fatta da qualsiasi dominio. Avrai bisogno di essere sicuri di modificare questo per consentire solo i domini che si intende whitelist, supponendo che non si vuole ogni richiesta da tutti i domini di essere valida:

ingresso

web.xml per il filtro:

<web-app ...> 
    ... 
    <filter> 
     <filter-name>cross-origin</filter-name> 
     <filter-class>org.eclipse.jetty.servlets.CrossOriginFilter</filter-class> 
    </filter> 
    <filter-mapping> 
     <filter-name>cross-origin</filter-name> 
     <url-pattern>/*</url-pattern> 
    </filter-mapping> 
    ... 
</web-app> 

Ecco un elenco di risorse aggiuntive che si possono trovare utili a risolvere questo particolare problema:

• Jetty Cross Origin Filter

• Access Control Allow Origin not allowed by

• Java EE 5 Tutorial - Filtering Requests and Responses

• HttpServletResponseWrapper javadoc - Potrebbe essere necessario questo nel caso in cui è necessario sostituire l'oggetto HttpServletResponse.

• Setting Authentication Header in Servlet via Filter

• Differences between ServletResponse and HttpServletResponseWrapper?

• How to add response headers based on Content-type; getting Content-type before the response is committed

Answer 3

Per le cose SOAP, le intestazioni consentiti dovrebbe includere anche MessageType, SOAPAction

Attenzione che nessun jolly è consentito per configurare le intestazioni consentiti ...