single-sign-on - 手动将 Crowd SSO token 存储在 cookie 中？

Question

我正在尝试使用 Atlassian Crowd 实现 SSO，但令人惊讶的是缺乏良好的文档甚至示例。

到目前为止，我使用 CrowdClient.authenticateSSOUser 对用户进行身份验证，如果成功则取回 SSO token (字符串)。然后，我拿走这个 token 并自己将其填充到 cookie 中(通过 HttpServletResponse)。在随后的页面访问中，我获取所有 cookie，搜索这个，然后对其调用 CrowdClient.validateSSOAuthentication 方法。

我的问题是:我是否应该为 SSO 使用更多的 Crowd 代码？我似乎比我预期的要手动做更多。

...我确实看到了其他可能性的暗示...例如:

1. 在 crowd.properties 中，您可以指定一个 crowd.token_key，这显然是应用应该使用的名称将 token 存储在 cookie 中(尽管设置此值并不会神奇地实现这一点)。

2. 像 CrowdHttpTokenHelper 这样的事情存在于最新版本中 - 但似乎没有容易找到的相关示例(或 JavaDoc 以外的文档)。

Answer 1

是的，有一些可能性可以帮助或至少作为引用。

对于现成的实现，您可能需要查看 Integrating Crowd with Spring Security .

如果您需要更精细的控制，请使用 CrowdHttpAuthenticator .它将允许您使用用户名和密码对请求进行身份验证，并检查 session 是否具有现有的 session cookie。 (它的 concrete implementation 将接受属性并使用 crowd.token_key。)

CrowdClient如果这些不能满足您的需求，则可用，但这不是唯一的选择。