JBoss JAAS 自定义登录模块

Question

我正在尝试为托管在JBoss 5.1.0.GA上的基于 web 的应用程序使用自定义JAAS身份验证模块。 所以一切似乎都运行良好，直到用户数量增加并且会话（所以它认为）开始变得混杂。

我使用自定义 JAAS 的原因是因为自定义身份验证后端以及需要传回密码以便在应用程序中进一步使用。

当我在 servlets 中调用 request.getUserPrincipal 时，我在我的自定义主体上得到了 SimplePrincipal 类型的 object。 为了让用户使用SecurityAssociation.getSubject().getPrincipals()并怀疑此时我得到的主体不正确。

在 JBoss 上的 web 层（Serlets）上实现自定义登录模块和检索登录主体的正确方法是什么？

编辑：问题存在于 EJB 层， https://issues.jboss.org/browse/EJBHREE-1756

参考：

1. http://stuffthathappens.com/blog/2008/05/16/writing-a-custom-jaas-loginmodule/
2. http://community.jboss.org/wiki/SecurityJAASLoginModule
3. http://community.jboss.org/message/531986#531986
4. http://download.oracle.com/javase/1.4.2/docs/guide/security/jaas/JAASLMDevGuide.html
5. http://community.jboss.org/thread/44388
6. http://docs.redhat.com/docs/en-US/JBoss_Enterprise_Application_Platform/5/pdf/Security_Guide/JBoss_Enterprise_Application_Platform-5-Security_Guide-en-US.pdf

Answer 1

我无法让我的自定义主体正常工作的LoginModule 。 我创建了一个 Tomcat valve ，它加密并将密码推送到HttpSession 。 其他 servlets 将检索和解密密码。