在進行身份驗證之前，請檢查Spring-Security中的X509證書吊銷狀態

Question

在對其進行身份驗證之前，是否可以通過spring-security中的CRL檢查x509客戶端證書的撤銷狀態？ 我檢查了文檔（http://static.springsource.org/spring-security/site/docs/3.0.x/reference/x509.html），但它沒有提到有關CRL的任何內容。

實現UserService僅為您提供用戶名而不是X509Certificate。 任何幫助，將不勝感激！

謝謝！

Answer 1

我不確定Spring-Security的具體細節，但是如果它基於JRE的信任管理器（如果它是Oracle / Sun JRE），則可以通過將這些系統屬性設置為true來激活CRL檢查： com.sun.net.ssl.checkRevocation和com.sun.security.enableCRLDP ，並設置Security.setProperty("ocsp.enable", "true") （感謝@WillSargent指出它是一個Security屬性，而不是系統屬性）。

更多細節在這里：

• http://docs.oracle.com/javase/6/docs/technotes/guides/security/jsse/JSSERefGuide.html#CERTPATH
• http://docs.oracle.com/javase/6/docs/technotes/guides/security/certpath/CertPathProgGuide.html#AppC
• http://blogs.oracle.com/xuelei/entry/enable_ocsp_checking

Answer 2

SSL握手由servlet容器執行，而不是Spring Security，因此任何CRL檢查都應該在那時進行。 Spring Security將其視為“預認證”版本。

Spring Security只讀取（已經過SSL驗證的）證書，並允許您將其鏈接到本地​​用戶帳戶。