tomcat java web 应用程序的两因素身份验证

Question

我已经使用 tomcat 领域身份验证（自定义表单身份验证）实现了一个简单的 java web 应用程序。 现在，我正在尝试为用户添加第二个身份验证页面（双因素身份验证，我使用的是 Google 身份验证器）。 就我提到的 Tomcat 文档而言，我们只能指定一个 login-config。

我尝试添加过滤器，并尝试管理用户是否已使用会话和令牌手动完成双因素身份验证。

有没有办法在 web.xml 或 server.xml 中添加第二个身份验证。 所以，tomcat 应该处理用户是否已经完成了两个认证。

提前致谢。

Answer 1

Tomcat 只启动一个登录过程。 该过程可能会决定向用户询问多个凭据，但 tomcat 并不知道。

因此，您应该创建一个过滤器和/或登录 servlet 来处理 tomcat 容器的身份验证。 该过滤器/servlet（组合）必须提示输入所有所需的凭据。

如果您没有为已经具有身份验证层的应用程序使用框架，那么您实际上是在编写自己的 2FA 实现。