JBoss到Spring Boot和Spring Security升级：X509身份验证问题

Question

升级自：JBoss EAP 6.4/Spring Security 4.2.1（XML配置）

升级至：Spring Boot 2.2.4/Spring Security 5.2.1（JavaConfig）

我们有一个受Spring Security保护的RESTendpoint，它使用X509身份验证和一个测试客户端。

我在Spring Security的过滤器链中的X509AuthenticationFilter处设置了一个断点。extractClientCertificate：

X509Certificate[] certs = (X509Certificate[]) request
        .getAttribute("javax.servlet.request.X509Certificate");

在进入Spring Boot和Spring Security 5.2 JavaConfig之后，我再也看不到X509证书出现在请求中。

没有发布源代码，因为我不希望任何人修复我的问题。。。我只是在寻找一些关于在哪里挖掘或探索可能路径的建议。一些想法。。。

1. Spring Boot中的Spring Security是否使用嵌入式Tomcat连接器？如果我有一个用于HTTPS的Tomcat连接器，并且客户机在HTTPS上点击我们，我是否需要告诉用于HTTPS的Tomcat连接器从请求中提取X509证书

Answer 1

如果有人遇到这个...我解决了这个问题，如果对别人有帮助，我很乐意回答问题。

事实证明，这不是Spring Security性的问题，而是我们如何配置Tomcat连接器的问题。

我们需要：

>

使用下面与org.apache.coyote.http11兼容的方法调用，正确设置Spring Boot Tomcat安全连接器的信任库。

此外（这是必不可少的）-setClientAuth为true。

很难看，我挖掘了Tomcat-embed-core的源代码，但是有一系列字符串相当于“强制客户端将证书作为请求的一部分发送”。那些字符串是：“true”，“yes”，“必需”，它们都做同样的事情，所以我们只是使用了“true”。

    protocol.setTruststoreFile(truststorePath); // local directory path
    protocol.setTruststoreType(truststoreType); // a string of either PKCS12 or JKS
    protocol.setTruststorePass(truststorePass); // whatever password you set on your Keystore
    protocol.setClientAuth("true"); // Makes the client provide cert in Request over HTTPS

Tomcat连接器没有很好的文档记录。有一个方法调用：

protocol.setSSLCACertificateFile(trustStorePath);

这在org下不起任何作用。阿帕奇。郊狼。http11。HTTP11NIO协议。

显然，这是为了与org合作。阿帕奇。郊狼。http11。HTTP11APR协议（Apache便携式运行时）。事实上，这并不是我们建立信任商店的方法。