Spring Security在所有级别的身份验证中使用X509

Question

我有一个遗留应用程序，我正在将它从用户密码转换为使用基于证书的身份验证。我使用的是Tomcat7，我的应用程序需要根据用户试图访问的应用程序中的URL支持4种类型的安全性

例如：少数servlet将使用HTTP少数servlet将使用HTTPS而不进行任何身份验证少数servlet将使用PKI进行相互身份验证，但是用户不会被预先知道，因此任何在证书链中拥有有效证书的用户都将被授予访问权限。应用程序的重置是管理，因此它可以基于预定义的用户证书CNS进行基于角色的访问。

我的Tomcat Server.xml中有一个在443处运行HTTPS的连接器，clientauth=“want”

我有我的应用程序web.xml，它有一个springSecurityFilterChain，它列出了我希望需要HTTPS的任何URL

我的SpringSecurityContext.xml有一个x509部分，它有subject-principal-regex=“cn=(.*？）”user-service-ref=“userDetailsService”，它从属性文件中读取预注册的用户和角色。从那里，我列出了intercept-url模式，我希望在这些模式中有一个requires-channel=“https”，说明哪些模式需要哪些角色。

下面是我的3个XML文件中的一些片段，以显示我正在谈论的内容。我只在springSecurity中包含了httpsandcertlink，以显示我正在尝试添加哪一个，但无法开始工作。

server.xml


maxthreads=“150”sslenabled=“true”scheme“https”secure=“true”
clientauth=“want”sslprotocol“tls”
keystorefile=“doesntmatter”
truststorefile=“doesntmatter”/>

web.xml


client-cert
MyApp



SpringSecurityFilterChain
org.SpringFramework.web.filter.DelegatingFilterProxy


mapping>
SpringSecurityFilterChain
*.go
/httpsonlylink
/httpsandcertlink


SpringSecurityContext.xml

















Answer 1

一种方法是通过创建一个自动分配给所有用户的附加“有效证书”角色，将缺少的需求附加到角色需求上。应该已经需要一个有效的证书链，所以所需要的只是设置一个拦截URL模式，该模式将匹配任何需要有效证书并需要“有效证书”角色的URL，确保该规则在需要特定角色的规则之后匹配。