apache - 使用 mod_jk 将用户名和客户端证书从 apache 传递到 tomcat

Question

我想通过 ssl 证书(针对自动化)或 openid(针对人，我使用 auth0 作为提供者)来验证 Web 服务。 Web 服务在 tomcat 容器中运行，该容器位于 apache web 服务器之后，使用 jk。 Web 服务器已经使用 auth0(使用 mod_auth_openidc)对其他路径的用户进行身份验证，并且只能通过 https 使用。我还有一个数据库，目前将 auth0 提供的用户名映射到角色(用于 apache 中的授权)。

我想拥有以下功能:

1. 找出用户名
   • 如果apache已经登录用户，使用用户名
   • 如果请求中使用了客户端证书，则使用 DN 作为用户名
   • 如果以上都不是，则重定向以便 apache 进行身份验证
2. 找出角色
   • 根据用户名查询数据库

我已经想通了，我可能要写一个过滤器，而且似乎来自jk's proxy documentation我可以从请求中获取证书和用户名。我写了下面的代码:

package com.kodekonveyor.realm;

import java.io.IOException;

import javax.servlet.Filter;
import javax.servlet.FilterChain;
import javax.servlet.FilterConfig;
import javax.servlet.ServletContext;
import javax.servlet.ServletException;
import javax.servlet.ServletRequest;
import javax.servlet.ServletResponse;
import javax.servlet.http.HttpServletRequest;

public class KKAuthorizationFilter implements Filter {

private ServletContext context;

@Override
public void init(FilterConfig fConfig) throws ServletException {
    this.context = fConfig.getServletContext();
    this.context.log("KKAuthorizationFilter initialized");
}

@Override
public void doFilter(ServletRequest request, ServletResponse response, FilterChain chain)
        throws IOException, ServletException {
    HttpServletRequest httpRequest = (HttpServletRequest) request;
    String user = httpRequest.getRemoteUser();
    Object cert = httpRequest.getAttribute("javax.servlet.request.X509Certificate");
    this.context.log("user:"+user);
    this.context.log("cert:"+cert);
    chain.doFilter(request, response);

}

}

但是，当我尝试访问当前已通过身份验证的用户或使用客户端 ssl 身份验证的 servlet 时，用户和证书都记录为空。我怀疑我必须做一些更多的 apache 配置才能使其工作。测试 servlet 位于 tomcat 中的/servlet/servlet。

我有以下 apache 配置(为了简洁省略了部分)

DocumentRoot /var/www/repo

#correct OIDC configuration omitted

<VirtualHost myhost.mydomain.com:443>
    ServerName myhost.mydomain.com

DBDriver pgsql
#other DBD configurations are omitted

JkMount /servlet* worker1

<Directory /var/www/repo/servlet>
    DirectoryIndex off
    RewriteEngine Off
    AuthType openid-connect
    AllowOverride None
    AuthzDBDQuery "a correct database query"
    Require dbd-group allrepo
LogLevel debug
</Directory>

<Directory /var/www/repo>
    DirectoryIndex off
    RewriteEngine Off
    AllowOverride None
</Directory>

#correct letsencrypt configuration omitted
</VirtualHost>

Answer 1

发现原因是，如果您在一个位置(或可能还有一个目录)指令中有一个 JkMount，则所有其他授权和授权(甚至所有其他？)指令都是无效的。

位于/servlet 的 servlet 工作配置示例:

<Location "/servlet*">
        JkMount  worker1
</Location>
<LocationMatch /servlet.*>
    DirectoryIndex off
    RewriteEngine Off
    AuthType openid-connect
    AllowOverride None
    LogLevel debug
    Require valid-user
        SSLOptions +StdEnvVars
        SSLOptions +ExportCertData
        SSLVerifyClient require
</LocationMatch>

另一种可能的解决方案:

<LocationMatch /servlet.*>
       SetHandler jakarta-servlet
       SetEnv JK_WORKER_NAME worker1
       DirectoryIndex off
       RewriteEngine Off
       AuthType openid-connect
       AllowOverride None
       Require valid-user
       LogLevel debug
        SSLOptions +StdEnvVars
        SSLOptions +ExportCertData
        SSLVerifyClient require
</LocationMatch>

参见 https://tomcat.markmail.org/thread/iax6picwsjlhbohd供讨论