REST, JAX-RS, аутентификация, ржавый топор

Зачем передавать с каждым запросом логин/пароль? Есть же сессии, сделанные через куки. Любым вменяемым явовским контейнером поддерживаются, да и тот же basic auth через них работает.

Хотел имя/пароль упаковать в JSON и посылать в теле запроса, но сервер его игнорирует нафиг, если запрос не POST.

Где находится тело запроса, если это не POST?

Затем, что REST.

Где находится тело запроса, если это не POST?

Через два \n после последнего хедера.

Через два \n после последнего хедера.

И какой HTTP запрос ты посылаешь?

Если ты посылаешь GET, то у меня для тебя плохие новости...

И что, если создатели спеки выдумали костыльный способ сохранять stateless сервисов - надо эту хуйню как мартышка повторять?

Прямо в сессии держать ничего не надо, но положить кукой auth token вполне допустимо. Главное что бы токены хранились не в памяти сервера, а в общем хранилище. Да и обычную сессию можно заюзать при условии что ничего-ничего кроме авторизации ты туда не пложешь. А вот таскать каждый раз логин и пароль - крайне не секьюрно.

У GET нет тела :)

Совершенно верно.

Ткни в годную реализацию, сделай одолжение.

Я пилил в свое время фильтр для джерси: https://jersey.java.net/documentation/latest/filters-and-interceptors.html

Ну а дальше как бы просто - токен выдается всегда, но он по дефолту анонимный, после логина он связывается с юзвером (в мемкеше запись). На каждый запрос вынимаешь этот токен, из мемкеша смотришь кто он там, аноним или залогиненный, профит.

Токен в кукисах передавал?

Ага. Но я не думаю что это имеет особое значение.

Плюсую. Большинство http сервисов так и организовано.

На сервере мемкеш или редис с парой токен-[account_id:ttl]. Сессия начинается постом пары логин/пароль на аутентификационный урл, который выдает токен и время валидности. Токен добавляется в хедер как X-SOME-SCURE-BLAH-BLAH-BLAH=«token». Урлы требующие аутентификацию/авторизацию извлекают id модели акка из мемкеша/редиса и юзают если ttl не истек. Как истек - гет один запрос на аутентификационный урл с выставленным хедером - в ответ новый токен. И так далее

Зачем анонимусу токен?

Опционально конечно, но я делал что бы трекать анонимные сессии.

А какая от этого польза? Спамеров отлавливать или что?

Для веб-аналитики как минимум.

Ясно, спасибо.