java - JBoss JAAS 自定义登录模块

Question

我正在尝试为 JBoss 5.1.0.GA 上托管的基于 Web 的应用程序使用自定义 JAAS 身份验证模块。所以一切似乎都运行良好，直到用户数量增加并且 session (它认为)开始变得复杂。

我使用自定义 JAAS 的原因是自定义身份验证后端以及需要传回密码以便在应用程序中进一步使用。

当我在 servlet 中调用 request.getUserPrincipal 时，我得到了一个 SimplePrincipal 类型的对象，而不是我的自定义主体。为了获得用户，我正在使用 SecurityAssociation.getSubject().getPrincipals() 并怀疑此时我得到的主体不正确。

在 JBoss 的 Web 层(Serlets)上实现自定义登录模块和检索登录主体的正确方法是什么？

编辑:问题存在于 EJB 层，https://issues.jboss.org/browse/EJBTHREE-1756

引用:

1. http://stuffthathappens.com/blog/2008/05/16/writing-a-custom-jaas-loginmodule/
2. http://community.jboss.org/wiki/SecurityJAASLoginModule
3. http://community.jboss.org/message/531986#531986
4. http://download.oracle.com/javase/1.4.2/docs/guide/security/jaas/JAASLMDevGuide.html
5. http://community.jboss.org/thread/44388
6. http://docs.redhat.com/docs/en-US/JBoss_Enterprise_Application_Platform/5/pdf/Security_Guide/JBoss_Enterprise_Application_Platform-5-Security_Guide-en-US.pdf

Answer 1

我无法让 LoginModule 与我的自定义主体一起工作。我创建了一个 Tomcat valve加密并将密码推送到 HttpSession .其他 servlet 将检索和解密密码。