tomcat - User Principal 不适用于经过身份验证的用户，除非还获得特定角色的授权

Question

我有一个在 Tomcat 中运行的网络应用程序。我想允许任何拥有服务器信任的有效证书的用户访问 Web 应用程序，但我想从证书中读取用户的 DN。我用 clientAuth="true"配置了 SSL 连接器("want"也有效)并且 web.xml 有一个登录约束，要求提供客户端证书。我使用用于签署用户证书的 CA 证书配置了一个信任库。

客户端提供一个证书，服务器接受它，允许访问应用程序。我的问题是，当我在 HttpServletRequest 实例上调用 getUserPrincipal() 时，它为空。如果我在web.xml中添加一个auth-constraint，要求用户是某个角色，并且用户被配置为指定角色，那么用户主体不为空。

HttpServletRequest 的 API 表示如果用户未通过身份验证，则用户主体将为空。我认为用户已通过身份验证，因为他们提供了有效且受信任的证书，但显然在此上下文中的身份验证包括授权？

有什么方法可以从有效的受信任证书访问用户主体，而无需将用户分配给特定角色？

这是导致主体为空的 web.xml 片段:

<security-constraint>
    <web-resource-collection>
        <web-resource-name>My App</web-resource-name>
        <url-pattern>/*</url-pattern>
    </web-resource-collection>
</security-constraint>
<login-config>
    <auth-method>CLIENT-CERT</auth-method>
    <realm-name>My Realm</realm-name>
</login-config>

这里是 web.xml 片段，它使我能够在为指定角色配置用户时获取用户主体:

<security-constraint>
    <web-resource-collection>
        <web-resource-name>My App</web-resource-name>
        <url-pattern>/*</url-pattern>
    </web-resource-collection>
    <auth-constraint>
        <role-name>Some Role</role-name>
    </auth-constraint>
</security-constraint>
<login-config>
    <auth-method>CLIENT-CERT</auth-method>
    <realm-name>My Realm</realm-name>
</login-config>
<security-role>
    <role-name>Some Role</role-name>
</security-role>

Answer 1

我发现虽然 HttpServletRequest#getUserPrincipal() 对于我描述的情况(用户已通过身份验证，但不需要或未尝试授权)返回 null，ServletRequest#getAttribute("javax.servlet. request.X509Certificate") 返回一个证书数组，其中包含经过身份验证的用户的证书。

这解决了我的问题，但在我看来，HttpServletRequest#getUserPrincipal() 的行为与 API 不一致，API 表示“返回一个 java.security.Principal 对象，其中包含当前经过身份验证的用户的名称”。没有提到还必须应用和满足显式授权约束，但这似乎是 Tomcat 实现它的方式。