java - 使用 j_security_check 进行身份验证，但不进行授权(在 Websphere 中)

Question

有没有办法强制我的 Java EE 应用程序使用 j_security_check 进行身份验证，而不是授权？我想通过独立 LDAP 存储库进行身份验证，但我想在我的应用程序中进行编程授权。

具体来说，我不想在 Websphere Application Server 管理控制台中围绕授权(用户角色映射到组)进行任何配置。

例如:

1. 用户使用正确的“user1”和密码“password1”登录
2. Websphere 在 LDAP 中找到这个人，知道他们是他们所说的人(身份验证)
3. 我从文件系统上的一个文件检查这个用户是否被授权(授权)

Answer 1

我建议为此使用 Spring Security。我们已经在 WebSphere 中实现了这个确切的模式。诀窍是使用 Spring Security 提供的预认证机制，然后在配置中只定义授权规则。

<http>
  <session-management session-fixation-protection="none"/>
  <custom-filter position="PRE_AUTH_FILTER" ref="preAuthenticationFilter"/>
  <intercept-url pattern="/j_security_check" filters="none"/>
  <intercept-url pattern="/ibm_security_logout" filters="none"/>
  <!-- put authorization intercept-url elements here... -->
</http>

您还必须定义一些其他 bean，例如预验证过滤器和自定义入口点，但此处已记录:http://static.springsource.org/spring-security/site/docs/3.0.x/reference/preauth.html