java - 在我的例子中，JSF 中选择哪种用户身份验证？

Question

就目前情况而言，这个问题不太适合我们的问答形式。我们希望答案得到事实、引用资料或专业知识的支持，但这个问题可能会引发辩论、争论、民意调查或扩展讨论。如果您觉得这个问题可以改进并可能重新开放， visit the help center以获得指导。

已关闭 10 年前。

我几乎花了一整天的时间进行 JSF 身份验证，我想我完全迷失了。我想要灵活的身份验证。

大多数人说“基于 HTTP FORM 的身份验证与 JDBC 领域相结合”是最好的..但在我看来有点..不灵活。我不想将数据库名称和表(其中用户名、密码、组等)设置为常量。

所以我的问题是:当我的网络服务(JAX-WS、WCF 等 - 我认为这并不重要)有一个返回用户名和密码是否正确的方法时，最好的方法是什么？当我有一个功能可以连接到数据库本身以检查用户和密码是否正确时..我只需要关心哪个页面显示(登录页面或“请求”页面)的整个机制。如果登录页面，它将使用我的网络服务方法来检查它..

顺便说一句。有没有什么好的文章可以比较并说明在什么情况下我们应该使用什么方法？

PS。如果这个话题不好的话，我很抱歉，我没有更好的主意:/

<小时/>

编辑:换句话说:Here是如何使用领域和基于表单的身份验证的示例。我必须有数据库，其中有用户表、用户名列、密码列、组表等，对吧？我必须用这个配置我的域...但是，如果我无权访问数据库怎么办？我只能访问网络服务，它会告诉我用户和密码是否正确。

在这种情况下我应该使用哪种用户身份验证方法？

Answer 1

一种方法是使用连接到 Web 服务而不是数据库的自定义领域。如何做到这一点已经部分标准化(使用 JAAS)，但仍然取决于应用程序服务器。对于 glassfish，请参阅这个非常相似的问题和答案:Java Web Application: Using a custom realm to perform login through a webservice

另一种方法是不使用 Java EE 安全性，并在 Web 应用程序中自行处理所有安全性(例如使用过滤器等)。我会首先尝试使用自定义领域的符合 Java EE 的方式。