java - 通过外部安排的 SSO 实现接缝安全

Question

我在 WebLogic 10.3.2 (11g) 上部署了一个应用程序，其中用户通过 SSO 登录。换句话说，如果用户未登录，他将被重定向到他登录的 SSO，然后被重定向回应用程序。整个重定向由 Oracle HTTP Server(经过修改的 apache)进行，这确保只有经过 SSO 身份验证的用户才能看到该应用程序。

因此，当用户最终看到该应用程序时，他已经登录了。

有没有办法在这种情况下使用 Seam 安全性？我想要的是使用主题的角色来限制对某些页面和组件的访问。

我想到但不确定的一种方法是使用由 WebLogic 的 SSO 身份验证提供程序填充的主题，并使用它来填充 Seam 的身份组件。这将在身份验证方法中进行，该方法将始终返回 true(因为用户已经登录)。在该方法内部，Subject 的凭证和角色将在 Seam 身份内部“转移”。

这到底可行吗？

干杯!

Answer 1

您可以编写自己的身份验证方法，或重写 Identity 类和 login() 方法来实现此目的。我已经使用执行身份验证的反向代理做了类似的事情。在该场景中，代理将经过身份验证的用户的用户 ID 及其所属的所有组作为 header 值发回。我编写了一个过滤器来拦截 header ，然后使用我的自定义 Identity 类来完成其余的工作。