在不使用Java的JAAS安全性登录的情况下验证用户凭据

Question

我正在开发一个在JBOSS Wildfly下运行的JSF2应用程序，它利用了Java的JAAS安全机制。

一切都按预期工作，我可以使用 request.login（用户名，密码）机制登录。

我还需要授权设备（我已使用cookie实现）作为登录过程的一部分。我试图实施的过程如下：

1. 验证用户名和密码（但不登录）
2. 检查设备授权并重定向到授权过程页面（如果尚未授权）。
3. 登录（如果授权成功）

除非用户被授权，否则我不想让他们登录，除非用户名和密码正确，否则我不想经历授权过程。

因此，我需要验证凭据是否正确，而无需实际登录用户。我可以通过数据库查询手动执行此操作，但我想知道是否有办法通过JAAS执行此操作。

有什么想法吗？有钱的

Answer 1

在JAAS/JEE中没有检查凭据的标准方法。但是，您可以登录并立即注销用户：

HttpServletRequest request = (HttpServletRequest) FacesContext
        .getCurrentInstance().getExternalContext().getRequest();
try {
    request.login(name, password);
    request.logout();
    isValid = true;
} catch (ServletException e) {
    isValid = false;
}

< code>ServletException表示用户无效(或发生了其他错误)。

您还可以使用内部JBoss类org.jboss.security.AuthenticationManager及其isValid（…）方法。参见示例。但是这将您绑定到JBoss AS/Wildfly。