Spring-Security with X509？

Question

我对弹簧安全一般是新手，我有点困惑。

我试图将其与此集成的项目使用X509证书来识别用户登录应用程序。 没有用户名或密码。 我们验证证书是好的，并且他们已被授予访问我们的应用程序的权限。

问题是如何使用X509证书将spring集成到其中以获取其角色？

我看到了这个 ：

<http>
 ...
    <x509 subject-principal-regex="CN=(.*?)," user-service-ref="userService"/>
 ...
</http>

但我不明白这是如何工作的。 它还需要密码吗？ 或者它是否需要它的主题？

Answer 1

但我不明白这是如何工作的。 它还需要密码吗？ 或者它是否需要它的主题？

我认为这就是它所需要的一切。 我相信该模型是TLS协议使用公钥加密技术确定用户/客户“拥有”证书，该技术可以归结为知道证书私钥的用户/客户端。 假设只有用户才知道他自己的私钥，因此能够证明密钥知识的人/用户是用户。

Answer 2

至少对于访问您的服务的浏览器，将提示用户输入创建X509证书时使用的密码。 您可以创建没有密码的证书，但这不是那么安全。

用户输入密码后，浏览器和servlet容器将处理SSL握手，然后如果一切正常，则可以使用UserDetailsS​​ervice实现使用用户拥有的任何角色填充原理。