java - 遗留 servlet 应用程序的 OIDC 过滤器

Question

我想拦截对遗留 Java servlet/JSP 应用程序的请求，并使用 OpenID Connect (OIDC) 协议(protocol)对用户进行身份验证。

我看过 Spring Security 和 SAML 的示例，其中 springSecurityFilterChain 以 XML 显式配置并包装现有的非 Spring servlet。但我见过的大多数 Java OIDC 示例都使用了 Spring Boot，这对我来说不是一个选项。 (例如:https://developer.okta.com/blog/2017/12/18/spring-security-5-oidc)

您能指出在 Java 网络应用程序中使用 OIDC 客户端的任何非 Spring Boot 示例吗？

Answer 1

我发现 pac4j特别是 j2e-pac4j 和 pac4j-oidc 的组合是将 OIDC 插入普通旧式 servlet 应用程序的最简单方法。

j2e-pac4j被实现为插入 web.xml 以拦截请求的普通 Java servlet 过滤器(实际上是两个，因为您需要一个回调处理程序)。这些过滤器引用您提供的 Java 类来配置 OIDC 客户端。

Okta 的开发者博客有一个 article on using pac4j-oidc with Play framework对于 Java，这似乎也是一种合理的方式，因为 Spring Security 感觉太复杂或难以在遗留应用程序中设置。