java - 基于 Java 的 Web 应用程序的 Windows 身份验证，如何？

Question

我开发了几个基于 Java 的 Web 应用程序。这两个应用程序都有基于某些 ActiveX 目录实现的独立身份验证逻辑。

现在，我需要将其更改为 Windows 身份验证，以便每当用户点击我的 Web 应用程序的 URL 时，我需要检查他的 Windows 凭据而不是将他重定向到登录页面。

我不想在 URL 中存储他的 Windows 凭据。

有什么好的方法吗？

Answer 1

根据您希望 Web 应用程序具有的集成级别，Spring Security应该涵盖您所追求的几乎所有方面。

如果重定向到登录页面并通过 LDAP 针对 Active Directory 服务器验证输入的凭据是可以接受的，那么 LDAP extension是要走的路。

如果您想要更多的单点登录 (SSO) 流程，并且您的用户已经针对相关的权威 Active Directory 服务器进行了身份验证(例如，他们已登录到域)，那么 Kerberos plugin for Spring Security 可能更具吸引力，因为您的用户只需转到 Web 应用程序，而不必通过任何其他身份验证步骤。系统将在幕后处理它。

如果您首先尝试基于 Kerberos 的身份验证，您也可以组合/分层这些方法，如果失败，则回退到登录表单和基于 LDAP 的身份验证。

如果您需要超越此范围，Spring Security 足够灵活，允许您在需要时使用 OpenID 或应用程序内身份验证。