Session-based (Cookie-Based) Authentication

@Path("/rest/auth")
public class AuthService {
    private final String userID = "admin";
    private final String password = "password";

    @POST
    @Path("/session")
    @Consumes(MediaType.APPLICATION_JSON)
    @Produces(MediaType.APPLICATION_JSON)
    public Response login(@Context HttpServletRequest req,
            UserCredential userCredential) {   // userCredential保存着前端传过来的json数据
        String username = userCredential.getUsername();  // 用户在前端输入的用户名
        String password = userCredential.getPassword();  // 用户在前端输入的密码

        if (username.equals(userID) && password.equals(password)) { // 一般要去数据库验证用户名这密码是否正确，这里为简单只允许admin/password通过
            // create session
            HttpSession session = Req.getSession();   // getSession()找不到session时就会在服务器创建一个session，如果创建新session则会自动把session id放入响应报文头的Set-Cookie字段中
            session.setAttribute("user", userName);
            // set session to be expired in 30 minutes
            session.setMaxInactiveInterval(30 * 60);

            String sessionId = session.getId()
            // 返回包含session id的json数据给前端
        } else {
            // 返回用户名或密码不匹配的错误
        }
    }
}

    @DELETE
    @Path("/session")
    @Consumes(MediaType.APPLICATION_JSON)
    public void logout(@Context HttpServletRequest req) {
        HttpSession session = req.getSession(false);
        // getSession(false)中false是意思是找不到session就返回null，而不是创建新session
        // getSession由web服务器实现，它的具体过程大致为：首先去客户端的请求报文中查找session id（往往在Cookie中查找），
        // 然后在web服务器内存中查找以这个session id为key的session对象是否存在，存在就返回它。


        // invalidate the session if exists
        if (session != null) {
            String userName = (String) session.getAttribute("user");

            session.invalidate();                    // 关键步骤，让session失效！

            logger.info("{} logout.", userName);
        } else {
            logger.warn("No session found");
        }
    }

import java.io.IOException;

import javax.servlet.Filter;
import javax.servlet.FilterChain;
import javax.servlet.FilterConfig;
import javax.servlet.ServletException;
import javax.servlet.ServletRequest;
import javax.servlet.ServletResponse;
import javax.servlet.http.HttpServletRequest;
import javax.servlet.http.HttpServletResponse;
import javax.servlet.http.HttpSession;

import org.slf4j.Logger;
import org.slf4j.LoggerFactory;

public class AuthFilter implements Filter {
    private final static Logger logger = LoggerFactory.getLogger(AuthFilter.class);

    @Override
    public void init(FilterConfig filterConfig) throws ServletException {
    }

    @Override
    public void doFilter(ServletRequest request, ServletResponse response, FilterChain chain)
            throws IOException, ServletException {
        HttpServletRequest req = (HttpServletRequest) request;
        HttpServletResponse res = (HttpServletResponse) response;

        String uri = req.getRequestURI();

        HttpSession session = req.getSession(false);
        // getSession(false)中false是意思是找不到session就返回null，而不是创建新session
        // getSession由web服务器实现，它的具体过程大致为：首先去客户端的请求报文中查找session id（往往在Cookie中查找），
        // 然后在web服务器内存中查找以这个session id为key的session对象是否存在，存在就返回它。

        if (uri.endsWith("/rest/auth/session")) {
            // 请求 /rest/auth/session 时（登录时），可能没有认证，这时显然没有session，应该放过检查
            chain.doFilter(request, response);
        } else {
            // 如果在服务器端找不到相应session，说明还没有登录过，返回登录页面
            if (session == null) {
                logger.warn("Unauthorized access request, uri={}", uri);
                res.sendRedirect("/login.html");
            } else {
                chain.doFilter(request, response);
            }
        }
    }

    @Override
    public void destroy() {
    }
}