java - 使用 apache shiro 在 Web 应用程序和 REST API 之间进行 SSO

Question

我正在尝试在 Web 应用程序和 REST API 之间设置 SSO，为此我使用 Apache Shiro + Jasig CAS，但现在我遇到了与 REST API 身份验证相关的问题。我在 Web 应用程序中使用 CASRealm + CASFilter 并尝试使用在那里创建的 session 来访问 REST API，我尝试了两种方法:

1. 通过请求 header 将 CAS 服务票证从 Web 应用传播到 REST API(不起作用，它表示服务票证无效，因为它属于另一个应用程序，也许 TGT 可以工作)

2. 将用户名和密码存储在Web应用程序中，并在http基本身份验证中使用它们(这可能是一个很大的安全缺陷，我正在努力避免它)

我还可以使用什么其他方法在 REST API 中对用户进行身份验证？

我想这主要是一个架构问题。如果您不明白我的问题(或我的英语)，请提问

Answer 1

看起来您想使用第一个 CAS 服务作为 REST API 的代理:您可以使用 CAS 代理机制:https://wiki.jasig.org/display/CAS/Proxy+CAS +演练。虽然 Shiro CAS 模块中不提供代理支持，但您应该使用 buji-pac4j 扩展，这里有关于此主题的很好的讨论:http://shiro-user。 582556.n2.nabble.com/Shiro-cas-proxying-td7579694.html。