基于表单的安全约束中的Tomcat和Jaas身份验证servlet

Question

我有一个安全约束，它覆盖了我的web应用程序中的一些页面。身份验证是用JAAS和form进行的，它工作得很好。（我已经成功实现了我的LoginModule）。

但是，我需要通过servlet进行另一种身份验证。

try {
    TokenCallbackHandler tokenCallbackHandler = new TokenCallbackHandler(properties,token);

    LoginContext lc = new LoginContext("myApp", tokenCallbackHandler);
    lc.login();
} catch (LoginException e) {
    e.printStackTrace();
}

function doRedirect() {
    location.href = "/protectedPath/ProtectedResource.html";
}
window.setTimeout("doRedirect()", 1);

但当浏览器试图获取受保护的页面时，app服务器会返回到登录页面。

我错过了什么？有可能在js重定向时会丢失会话cookie？或者，问题是否可能是我试图（通过重定向）从一个不受保护的资源访问一个受保护的资源？

--编辑---

在定义了安全约束和表单登录配置以保护我的资源之后，我告诉tomcat以其方式管理身份验证。因此，只要我没有通过tomcat身份验证工作流，我就无法对任何东西进行身份验证。我还发现，在同一个web应用程序中配置不同的登录配置是不可能的，因此定义了表单身份验证后，我就无法用其他方式进行身份验证。可能我需要的是类BaseAuthenticator的自定义实现（FormAuthenticator、BasicAuthenticator等的基类，包含相应登录配置的代码），但我不确定这是否是一个好主意，也许安全过滤器会是一个更好的解决方案。

我对tomcat中的安全过滤器有所了解，因此暂时设法解决了在servlet中模拟表单身份验证的问题（我知道这真的很糟糕）。

Answer 1

如果您想要在身份验证和授权管理方面进行认真的工作，那么您应该使用一个成熟的框架，如Apache Shiro或Spring Security。后者至少允许并发身份验证模式（默认为基本http和登录表单，但也可能有许多其他形式）