如何使用 Java 和 Spring 在 web 应用程序中组织 X509 身份验证？

Question

我有 USB 令牌，上面有私钥和 X509 证书。 从 Firefox 可以看出是可以的。 我有来自 Spring Security 的示例应用程序（我使用的是版本 3），它只是演示了不同类型的身份验证。 该应用程序部署在 JBoss AS 6 上。我搜索了许多论坛和文章以获取信息，如何使用 X509 证书而不是使用登录/通过身份验证（例如： 使用 spring 安全性 2.0.4 进行 x509 身份验证）。 我见过的所有地方：“只需在 applicationContext.xml 中添加 x509 标记”，“哦，谢谢。它可以工作。”。 示例应用程序中有 x509 片段来自 Spring Security in applicationContext,xml 已被评论。 我已取消注释该内容，但没有任何效果，该应用程序记录了所有操作，因此我可以看到，当我加载应用程序页面时 X509 过滤器正在触发：但它什么也没做。 因为它在日志中写道：“在用户请求中找不到证书”。

你能帮我解决这个问题吗？ Spring 是否应该从浏览器的证书中获取 CN 并使用它而不是登录名？ 我做错了什么？

PS我在applicationContext.xml中有正确的用户服务块。

PPS 对不起，我的语言不是我的母语。

Answer 1

我不熟悉 Spring 但文档表明：

在尝试将其与 Spring 安全性一起使用之前，您应该熟悉使用证书并为 servlet 容器设置客户端身份验证。 大部分工作是创建和安装合适的证书和密钥。 For example, if you're using Tomcat then read the instructions here http://tomcat.apache.org/tomcat-6.0-doc/ssl-howto.html . 在尝试使用 Spring 之前，请务必先完成这项工作

首先，我认为您必须在 JBoss servlet 容器中设置 X509 身份验证。