Spring-Security with X509？

Question

我對彈簧安全一般是新手，我有點困惑。

我試圖將其與此集成的項目使用X509證書來識別用戶登錄應用程序。 沒有用戶名或密碼。 我們驗證證書是好的，並且他們已被授予訪問我們的應用程序的權限。

問題是如何使用X509證書將spring集成到其中以獲取其角色？

我看到了這個 ：

<http>
 ...
    <x509 subject-principal-regex="CN=(.*?)," user-service-ref="userService"/>
 ...
</http>

但我不明白這是如何工作的。 它還需要密碼嗎？ 或者它是否需要它的主題？

Answer 1

但我不明白這是如何工作的。 它還需要密碼嗎？ 或者它是否需要它的主題？

我認為這就是它所需要的一切。 我相信該模型是TLS協議使用公鑰加密技術確定用戶/客戶“擁有”證書，該技術可以歸結為知道證書私鑰的用戶/客戶端。 假設只有用戶才知道他自己的私鑰，因此能夠證明密鑰知識的人/用戶是用戶。

Answer 2

至少對於訪問您的服務的瀏覽器，將提示用戶輸入創建X509證書時使用的密碼。 您可以創建沒有密碼的證書，但這不是那么安全。

用戶輸入密碼后，瀏覽器和servlet容器將處理SSL握手，然后如果一切正常，則可以使用UserDetailsS​​ervice實現使用用戶擁有的任何角色填充原理。