深入Jetty源码之SecurityHandler

    < login-config > 
      < auth-method >FORM </ auth-method > 
      < realm-name >Example-Based Authentiation Area </ realm-name > 
      < form-login-config > 
         < form-login-page >/jsp/security/protected/login.jsp </ form-login-page > 
         < form-error-page >/jsp/security/protected/error.jsp </ form-error-page > 
      </ form-login-config > 
    </ login-config > 
OR
   < login-config >
     < auth-method >BASIC </ auth-method >
     < realm-name >Tomcat Manager Application </ realm-name >
   </ login-config >

   < security-constraint >
   < security-constraint >
     < web-resource-collection >
       < web-resource-name >Status interface </ web-resource-name >
       < url-pattern >/status/* </ url-pattern >
     </ web-resource-collection >
     ...
     < auth-constraint >
        < role-name >manager-gui </ role-name >
        < role-name >manager-script </ role-name >
        < role-name >manager-jmx </ role-name >
        < role-name >manager-status </ role-name >
     </ auth-constraint >
   </ security-constraint >

     public UserIdentity newUserIdentity( final Subject subject,  final Principal userPrincipal,  final String[] roles) {
         return  new DefaultUserIdentity(subject,userPrincipal,roles);
    }
     public RunAsToken newRunAsToken(String runAsName) {
         return  new RoleRunAsToken(runAsName);
    }

public  interface LoginService {
    String getName();
    UserIdentity login(String username,Object credentials);
     boolean validate(UserIdentity user);
    IdentityService getIdentityService();
     void setIdentityService(IdentityService service);
     void logout(UserIdentity user);
}

public  interface Authenticator {
     // Jetty支持BASIC、FORM、DIGEST、CLIENT_CERT、SPNEGO的认证，该方法返回其中的一种，或用于自定义的方法。
    String getAuthMethod();

     // 设置配置信息(SecurityHandler继承自AuthConfiguration接口)：AuthMethod、RealmName、InitParameters、LoginService、IdentityService、IsSessionRenewedOnAuthentication
     void setConfiguration(AuthConfiguration configuration);
    
     // 验证逻辑的实现方法，其中mandatory若为false表示当前资源有没有配置role信息，或者@ServletSecurity中的@HttpConstraint的EmptyRoleSemantic被配置为PERMIT，此时返回Deferred类型的Authentication，如果不手动的调用其authenticate或login方法，就不会对该请求进行验证。
    // 对BasicAuthenticator的实现，它从Authorization请求头中获取认证信息(用户名和用户密码，使用":"分割，并且使用Base64编码)，调用LoginService进行认证，当认证通过时，如果配置了renewSession为true，则将HttpSession中的所有属性更新一遍，并且添加(org.eclipse.jetty.security.secured, True) entry，并使用UserIdentity以及AuthMethod创建UserAuthentication返回。如果认证失败，则返回401 Unauthorized错误，并且在相应消息中包含头：WWW-Authenticate: basic realm=<LoginService.name>
    // 对FormAuthenticator的实现，它首先要配置formLoginPage、formLoginPath(默认j_security_check)、formErrorPage、formErrorPath；只有当前请求URL是formLoginPath时，从j_username和j_password请求参数中获取username和password信息，使用LoginService验证，如果验证通过且这个请求是因为之前请求其他资源重定向过来的，这重定向到之前的URL，创建一个SessionAuthentication放入HttpSession中，并返回一个新创建的FormAuthentication；如果验证失败，如果没定义formErrorPage，返回403 Forbidden相应，否则重定向或forward到formErrorPage；对于其他URL请求，查看在当前Session中是否存在已认证的Authentication，如果有，但是重新验证缓存的Authentication失败，则将这个Authentication从HttpSession中移除；否则返回这个Session中的Authentication；对于其他情况，表示当前请求需要认证后才能访问，此时保存当前请求URI以及POST数据到Session中，以在认证之后可以直接跳转，然后重定向或forward到formLoginPage中。
    // 对DigestAuthenticator的实现类似BasicAuthenticator，只是它使用Digest的方式对认证数据进行加密和解密。
    // 对ClientCertAuthenticator则采用客户端证书的方式认证，SpnegoAuthenticator使用SPNEGO方式认证，JaspiAuthenticator使用JASPI方式认证。 
    Authentication validateRequest(ServletRequest request, ServletResponse response,  boolean mandatory)  throws ServerAuthException;
    
     // 只用于JaspiAuthenticator，用于所有后继handler处理完成后对ServletRequest、ServletResponse、User的进一步处理，目前不了解JASPI的协议逻辑，因而不了解具体的用途。
     boolean secureResponse(ServletRequest request, ServletResponse response,  boolean mandatory, User validatedUser)  throws ServerAuthException;
}