弹簧安全 spnego ldap jwt

Question

我有一个复杂的情况，我需要在 tomcat 8 上为 web 应用程序实现安全性，该应用程序同时提供静态 html 和休息服务。 该应用程序是 spring mvc 应用程序（没有 spring boot）

身份验证 ( sso ) 过程如下：

如果 http 标头中不存在用户 jwt，则使用 ldap 进行身份验证，从数据库获取用户权限并创建 jwt 返回给用户。

如果头中存在 jwt，则跳过 ldap 过滤，从令牌中提取用户权限。

我正在考虑使用 spnego 库的第一个 servlet 过滤器并获取 Windows 域名（在 ldap 中使用的用户名），该过滤器还将检查是否需要 ldap 身份验证（如果未提供令牌）并将其传递回 spring 过滤器通过http params ..

我正在努力实现他的理想。 请帮忙。

谢谢

Answer 1

据我所知，spring security 支持 LDAP，可能会对您有所帮助。 除此之外，如果您想编写自己的过滤器，则必须将它们添加到 spring 安全过滤器链中。