OpenAM/OpenSSO HttpServletRequest.login（user,pass）失败，出现“无效传输字符串”。这是什么意思？

Question

我有两个tomcat服务器，一个带有OpenAM12，一个带有主要的web应用程序。已知：HTML页面可以毫无问题地进行身份验证，使用OpenAM java SDK的编程登录可以在servlet中工作。

失败的是调用HttpServletRequest.login（用户名、密码）

    <Realm className="com.sun.identity.agents.tomcat.v6.AmTomcatRealm" debug="99"/>

以下是我在AM J2EEAgent调试日志中看到的错误：

amRealm:01/29/2014 02:29:47:497 PM EST: Thread[http-bio-443-exec-3,5,main]
SSOTokenValidator: validate failed with exception
[AgentException Stack]
com.sun.identity.agents.arch.AgentException: Invalid transport string
        at com.sun.identity.agents.util.TransportToken.initializeFromString(TransportToken.java:135)
        at com.sun.identity.agents.util.TransportToken.<init>(TransportToken.java:115)
        at com.sun.identity.agents.common.SSOTokenValidator.validate(SSOTokenValidator.java:99)
        at com.sun.identity.agents.realm.AmRealm.authenticate(AmRealm.java:143)
        at com.sun.identity.agents.tomcat.v6.AmTomcatRealm.authenticate(AmTomcatRealm.java:106)
        at org.apache.catalina.realm.CombinedRealm.authenticate(CombinedRealm.java:146)
        at org.apache.tomee.catalina.TomEERealm.authenticate(TomEERealm.java:43)
        at org.apache.catalina.authenticator.AuthenticatorBase.doLogin(AuthenticatorBase.java:818)
        at org.apache.catalina.authenticator.AuthenticatorBase.login(AuthenticatorBase.java:800)
        at org.apache.catalina.connector.Request.login(Request.java:2621)
        at org.apache.catalina.connector.RequestFacade.login(RequestFacade.java:1065)

Answer 1

用户名/密码组合的请求#登录失败，因为代理在server.xml中定义了自己的Tomcat领域定义（AmTomcatRealm）。代理的领域不使用用户名/密码组合来验证用户，因为证书甚至不应该在那里出现（OpenAM执行身份验证，然后在您到达实际受保护的应用程序之前，密码早就消失了），实际上有点令人担忧的是，您仍然可以访问用户的密码。

由于代理实际上不应该知道用户的密码，所以它使用一个传输字符串，该字符串包含几个信息（其中包括会话ID)，它的格式非常不明确，以下是相关源代码的一些链接：https：//svn.forgerock.org/openam/trunk/openam-agents/jee-agents/jee-agents-sdk/src/main/java/com/sun/identity/agents/util/transportToken.java

此外，这不是一个先有鸡后有蛋的问题，因为假定JAAS登录是由代理本身执行的，实际上并不期望应用程序一开始就调用登录。在代理设置中（当然还有web.xml--参见容器文档），有一些方法可以启用JAAS表单登录支持，然后代理就可以处理JAAS集成，而不需要了解专有传输字符串格式。