Elytron通过表单身份验证进行编程登录

Question

我们目前正在从遗留安全子系统迁移到Elytron，并在JBoss EAP 7.3.6中部署了一个基于Struts2的web应用程序，该应用程序应该支持多种“风格”的身份验证。

登录的标准方式应该是，用户以登录表单（j_security_check）手动提供凭据，然后单击相应的按钮。这在我们的设置中与Elytron配合得很好。

第二种可能性是，对Web应用程序受保护内容的GET请求可能包含包含JWT令牌的自定义cookie。这个cookie被一个io.undertow.server.HttpHandler拦截，它在它的io.undertow.server.HttpHandler#handleRequest方法中处理传入的请求。这个处理程序是由io.undertow.servlet.api.DeploymentInfo#addSecurityWrapper注册的，带有一个DeploymentInfo，它是由io.undertow.servlet.ServletExent的实现提供的。在META-INF/service/io.undertow.servlet.ServletExent中注册为服务提供程序。

我们实现的io中的请求处理。在船底。服务器HttpHandler#HandlerRequest从cookie中提取JWT令牌，对其进行预验证并确定包含的用户名。这个用户名和作为密码的令牌被用作调用javax的输入。servlet。http。HttpServletRequest#登录。

对于旧版安全子系统，服务器的行为是，此登录调用触发了针对已配置旧版安全域的身份验证，并在下面创建了一个会话，以便前一个GET请求的HTTP 200响应包含一个带有新的JSESSIONIDCookie的Set Cookie头。

使用Elytron，javax.servlet.http.HttpServletRequest#log不会执行任何操作，不会触发针对Elytron安全域和安全域的身份验证，也不会触发会话的创建。浏览器只显示登录表单，该表单应该被描述的拦截过程跳过。

我调试了javax的实现。servlet。http。JBoss附带的HttpServletRequest#登录。我们从io开始。在船底。servlet。spec.HttpServletRequestImpl#login调用login=sc.login（用户名、密码）。当使用Elytron时，这个SecurityContext是org。野蝇。爱丽特龙。网状物在船底。服务器SecurityContextImpl<代码>组织。野蝇。爱丽特龙。网状物在船底。服务器SecurityContextImpl#login首先检查if（httpAuthenticator==null）。httpAuthenticator仅在org中设置。野蝇。爱丽特龙。网状物在船底。服务器SecurityContextImpl#authenticate，通过调用javax来调用它。servlet。http。HttpServletRequest#验证。

这就解释了为什么要简单地调用io。在船底。servlet。spec.HttpServletRequestImpl#login什么也没做。我试着调用javax。servlet。http。HttpServletRequest#先进行身份验证，在内部实例化httpAuthenticator，然后是javax。servlet。http。HttpServletRequest#登录。这至少最终触发了针对已配置的Elytron安全域和安全域的身份验证和授权。身份验证/授权成功，但Undertow仍然没有发出新的JSESSIONIDcookie，浏览器再次显示登录表单，而不是继续访问受保护的资源。

我目前没有主意，如何处理这个问题，以及如何实现与遗留安全子系统相同的行为。为什么Elytron实现了io。在船底。安全应用程序编程接口。SecurityContext的行为与传统安全性（io.undertow.security.impl.SecurityContextImpl）相比有很大不同？如何使用Elytron withjavax以编程方式登录基于表单的web应用程序。servlet。http。HttpServletRequest#登录和/或javax。servlet。http。HttpServletRequest#验证？

所有这些的相关JBoss配置如下所示：

暗流：

<application-security-domains>
    <application-security-domain name="my_app_security_domain" http-authentication-factory="MyHttpAuthFactory"/>
</application-security-domains>

爱丽特龙：

<security-domains>
    <security-domain name="MySecurityDomain" default-realm="MyCachingRealm" permission-mapper="default-permission-mapper">
        <realm name="MyCachingRealm" role-decoder="FromRolesAttributeDecoder"/>
    </security-domain>
</security-domains>

<security-realms>
    <custom-realm name="MyCustomRealm" module="module name redacted" class-name="class name redacted"/>
    <caching-realm name="MyCachingRealm" realm="MyCustomRealm" maximum-age="300000"/>
    <identity-realm name="local" identity="$local"/>
</security-realms>

<mappers>
    <simple-permission-mapper name="default-permission-mapper" mapping-mode="first">
        <permission-mapping>
            <principal name="anonymous"/>
            <permission-set name="default-permissions"/>
        </permission-mapping>
        <permission-mapping match-all="true">
            <permission-set name="login-permission"/>
            <permission-set name="default-permissions"/>
        </permission-mapping>
    </simple-permission-mapper>
    <constant-realm-mapper name="local" realm-name="local"/>
    <constant-realm-mapper name="MyRealmMapper" realm-name="MyCachingRealm"/>
    <simple-role-decoder name="FromRolesAttributeDecoder" attribute="Roles"/>
</mappers>

<http>
    <http-authentication-factory name="MyHttpAuthFactory" security-domain="MySecurityDomain" http-server-mechanism-factory="global">
        <mechanism-configuration>
            <mechanism mechanism-name="FORM" realm-mapper="MyRealmMapper">
                <mechanism-realm realm-name="MyRealm"/>
            </mechanism>
        </mechanism-configuration>
    </http-authentication-factory>
    <provider-http-server-mechanism-factory name="global"/>
</http>

Answer 1

这是JBoss EAP中的一个错误，已在EAP 7.3.8和7.4.1中修复。看见https://issues.redhat.com/browse/JBEAP-21737和https://issues.redhat.com/browse/JBEAP-21738详细信息。