java - 没有密码而是证书的用户身份验证？

Question

在我的应用程序中，存在接受用户名和密码的现有身份验证机制。我需要的是一种无需密码即可以给定用户身份登录的安全方法。假设我有一个 REST API 和一个使用它的可信源 Java 应用程序。一种方法是允许来自可信 IP 地址的此类访问，但这还不够。最好的方法是什么？例如。客户端必须使用一些受信任的证书。目标基本上是在没有密码的情况下从内部应用程序验证给定用户的身份。我们假设这是应该允许执行此操作的受信任应用程序，但我们仍然需要以某种方式授予该信任并能够验证它。任何帮助表示赞赏。谢谢

Answer 1

您当然可以使用 TLS 客户端证书来验证对服务器的 HTTPS 访问。在服务器端，您已经实现了一些方案来将客户端证书的使用者名称 (DN) 映射到您用于授权的某个名称或 ID。

此外，您需要适当的证书更新过程，就像服务器证书一样。您应该自动执行此操作并进行证书到期监控。

另一种选择可能是研究 OAuth 2.0。