Shiro:强制第二个领域验证，即使现有会话已经通过其他领域验证

Question

在我的使用阿帕奇·希罗进行AuthC和AuthZ的web应用程序中，我有两个身份验证领域:一个用于常规web接口(称为< code>SsoRealm)，另一个用于REST API(称为< code>RestRealm)，使用API令牌。由两个领域认证的主体具有分离的权限(和< code > AuthenticationTokens )。如果没有预先存在的会话，并且API调用通过REST接口到达，则一切正常，身份验证(和授权)通过< code>RestRealm进行。但是，如果存在之前通过< code>SsoRealm进行身份验证的现有会话，则不会通过< code>RestRealm进行身份验证尝试，并且连续的授权检查(使用< code>Subject.isPermitted)会失败，因为主题来自错误的领域。

相应的身份验证过滤器注册为（使用Shiro Guice）：

addFilterChain("/api/x/*/y", REST_AUTH, NO_SESSION_CREATION);
addFilterChain("/**", SSO_AUTH);

我有什么办法可以用“正确”的境界强制重新认证吗？

自定义的身份验证策略是否会有帮助（即，身份验证策略合约是否允许实施策略“如果涉及到RestRealm，则需要成功进行身份验证”）？如果存在现有的经过身份验证的会话，则不会再次调用AFAICSModularRealmAuthenticator.doMultiRealmAuthentication...

Answer 1

事实证明，这个问题很容易解决：只需覆盖身份验证Filter#isAccessAllowed，以确保为您的领域验证了“正确”的主体类型（默认实现仅使用 Subject#isAuthenticated 来测试是否有任何主体经过身份验证 - 无论它是否适合该领域）。