彈簧安全 spnego ldap jwt

Question

我有一個復雜的情況，我需要在 tomcat 8 上為 web 應用程序實現安全性，該應用程序同時提供靜態 html 和休息服務。 該應用程序是 spring mvc 應用程序（沒有 spring boot）

身份驗證 ( sso ) 過程如下：

如果 http 標頭中不存在用戶 jwt，則使用 ldap 進行身份驗證，從數據庫獲取用戶權限並創建 jwt 返回給用戶。

如果頭中存在 jwt，則跳過 ldap 過濾，從令牌中提取用戶權限。

我正在考慮使用 spnego 庫的第一個 servlet 過濾器並獲取 Windows 域名（在 ldap 中使用的用戶名），該過濾器還將檢查是否需要 ldap 身份驗證（如果未提供令牌）並將其傳遞回 spring 過濾器通過http params ..

我正在努力實現他的理想。 請幫忙。

謝謝

Answer 1

據我所知，spring security 支持 LDAP，可能會對您有所幫助。 除此之外，如果您想編寫自己的過濾器，則必須將它們添加到 spring 安全過濾器鏈中。