java - 基于证书和IP的认证

Question

有没有一种方法可以让 Java Web 应用程序通过 http 请求获取有关计算机上安装的安全证书的信息，并在计算机上安装了特定证书时有选择地授予访问权限。

基本上，要求是，Web 应用程序应仅接受来自公司笔记本电脑的请求，否则必须使用适当的错误文本拒绝访问。

(这些可能是在其计算机上安装了某些证书的 win 笔记本电脑，也可能来自一组特定的静态 IP。)

Answer 1

是的，这可以使用 HTTPS 客户端证书实现。确切的设置和配置取决于您的应用程序服务器和特定要求，但常见的情况是您创建公司内部 CA(证书颁发机构)来颁发可能仅限于特定客户端 IP 地址的客户端证书，并配置应用程序服务器的HTTPS 连接器需要客户端证书并信任您自己的 CA 颁发的证书。

完成正确的配置后，客户端证书将通过 servlet 请求属性提供给 Web 应用程序:

X509Certificate[] certificates = (X509Certificate[])
    request.getAttribute("javax.servlet.request.X509Certificate");