使用Spring 3.1的混合模式X509身份验证

Question

我的问题是，我有一个web应用程序可以很好地处理基于表单的身份验证。我需要我的应用程序的一部分使用SSL客户端身份验证进行自动身份验证。

到目前为止我所做的。

>

SSL启用tomcat（我可以访问https://mydomain.com:9443)

将客户端证书导入服务器信任存储

更改server-xml并在我的server.xml中设置clientauth=“want”

Connector port="9443" 
protocol="HTTP/1.1" 
SSLEnabled="true"
maxThreads="150" 
scheme="https" 
secure="true"
clientAuth="want" 
sslProtocol="TLS" 
keystoreFile="c:\serverkeystore"
keystorePass="ChangeIt" />

< http auto-config="true" use-expressions="true" >
    < x509 subject-principal-regex="CN=(.?)," user-service-ref="myUserDetailService" />
   < intercept-url pattern="/upload" requires-channel="https" />
   < intercept-url pattern="/*" access="hasRole('ROLE_USER')" />
    < form-login login-page="/login.jsp" 
               default-target-url="/index.jsp"

               authentication-failure-url="/login.jsp?error=1"  />
    < logout logout-url="/j_spring_security_logout" logout-success-url="/loggedout.jsp" delete-cookies="JSESSIONID"/>

我将Spring和Spring security 3.1.3与tomcat 6.0.35一起使用

如有任何帮助，我们将不胜感激。

Answer 1

你必须把问题分开：

1. 通过客户端证书身份验证所有/uploadURL
2. 通过表单身份验证其他URL进行身份验证

以下配置将允许在SpringSecurity 3.1中单独解决这些问题：

<http pattern="/upload/**" >
    <intercept-url pattern="/*" access="hasRole('ROLE_USER')" requires-channel="https"/>
    <x509 subject-principal-regex="CN=(.?)," user-service-ref="myUserDetailService" />
</http>

<http use-expressions="true">
    <intercept-url pattern="/login.jsp*" access="IS_AUTHENTICATED_ANONYMOUSLY"/>
    <intercept-url pattern="/**" access="ROLE_USER"/>
    <form-login login-page="/login.jsp" 
           default-target-url="/index.jsp"
           authentication-failure-url="/login.jsp?error=1"  />
    <logout logout-url="/j_spring_security_logout" logout-success-url="/loggedout.jsp" delete-cookies="JSESSIONID"/>
</http>