java - 配置 SPNEGO HTTP Servlet 过滤器

Question

我正在尝试使用 SourceForge 的 de SPNEGO 库为 Web 应用程序实现 Java SSO。 http://spnego.sourceforge.net 处的 hello_spnego.jsp 示例工作正常，但对于下一个参数，我还不了解一些事情:

1. spnego.prompt.ntlm 为不支持 Kerberos 的客户端启用基本身份验证。这个参数的推荐值是多少？为什么？
2. spnego.allow.basic 除了 Kerberos 身份验证外，还提供基本身份验证。我了解基本身份验证请求凭据不是很安全。这个参数的推荐值是多少？为什么？
3. spnego.allow.unsecure.basic。我认为如果启用基本身份验证，它的值必须为 false，但我不确定。

Answer 1

参数的值取决于您的用例。如果您有严格的 kerberos/spnego 环境(最安全，但所有客户端和用户都需要启用 kerberos/spnego)然后使用

• spnego.prompt.ntlm=false 因为我们只允许 kerberos
• spnego.allow.basic=false 因为我们只允许 kerberos
• spnego.allow.unsecure.basic=false 不相关，因为 spnego.allow.basic=false

如果除了 kerberos/spnego 之外，您还想允许其他身份验证机制，那么您必须决定使用哪些:NTLM 和/或 basic。此库不支持 NTLM，因此仅剩 Basic。

• spnego.prompt.ntlm=true 因为我们希望允许非 spnego/NTLM 客户端使用 basic
• spnego.allow.basic=true 因为我们希望允许非 spnego 客户端使用 basic
• spnego.allow.unsecure.basic=false 我们强制通过 HTTPS 进行基本身份验证 (如果您不这样做并在此处将值设置为 true，那么您将传输您的凭据未加密且为明文，我猜这不是你想要的)