java - tomcat java web 应用程序的双因素身份验证

Question

我已经实现了一个带有 tomcat 领域身份验证(自定义表单例份验证)的简单 java Web 应用程序。现在，我正在尝试为用户添加第二个身份验证页面(双因素身份验证，我正在使用 Google 身份 validator )。据我引用Tomcat文档，我们只能指定一个login-config。

我尝试添加过滤器，并尝试管理用户是否已使用 session 和 token 手动完成双因素身份验证。

有没有办法在 web.xml 或 server.xml 中添加第二次身份验证。因此，tomcat 应该处理用户是否完成了这两个身份验证。

提前致谢。

Answer 1

Tomcat 只启动一个登录进程。该进程可能会决定要求用户提供多个凭据，但 tomcat 并不知道这一点。

因此，您应该创建一个过滤器和/或登录 servlet 来处理 tomcat 容器的身份验证。该过滤器/servlet(组合)必须提示输入所有所需的凭据。

如果您的应用程序没有使用已经具有身份验证层的框架，那么您实际上是在编写自己的 2FA 实现。