Java 具有X.509证书的Spring Security
我试图配置SpringSecurity3.0.0来保护应用程序的安全性,这让我慢慢发疯 我已将服务器(jetty)配置为需要客户端身份验证(使用智能卡)。但是,我似乎无法正确地实现applicationContext-security.xml和UserDetailsService 首先,从应用程序上下文文件:Java 具有X.509证书的Spring Security,java,spring-security,x509certificate,Java,Spring Security,X509certificate,我试图配置SpringSecurity3.0.0来保护应用程序的安全性,这让我慢慢发疯 我已将服务器(jetty)配置为需要客户端身份验证(使用智能卡)。但是,我似乎无法正确地实现applicationContext-security.xml和UserDetailsService 首先,从应用程序上下文文件: <?xml version="1.0" encoding="UTF-8"?> <beans xmlns="http://www.springframework.org/s
<?xml version="1.0" encoding="UTF-8"?>
<beans xmlns="http://www.springframework.org/schema/beans"
xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance"
xmlns:context="http://www.springframework.org/schema/context"
xmlns:security="http://www.springframework.org/schema/security"
xsi:schemaLocation="http://www.springframework.org/schema/beans http://www.springframework.org/schema/beans/spring-beans-3.0.xsd
http://www.springframework.org/schema/context http://www.springframework.org/schema/context/spring-context-3.0.xsd
http://www.springframework.org/schema/security http://www.springframework.org/schema/security/spring-security-3.0.xsd">
<security:global-method-security secured-annotations="enabled" />
<security:http auto-config="true">
<security:intercept-url pattern="/**" access="IS_AUTHENTICATED_ANONYMOUSLY" requires-channel="https"/>
<security:x509 subject-principal-regex="CN=(.*?)," user-service-ref="accountService" />
</security:http>
<bean id="accountService" class="com.app.service.AccountServiceImpl"/>
}
应用程序有一个带有登录按钮的“首页”,因此访问该页面不需要任何身份验证
非常感谢您的帮助。从配置角度看,这看起来不错。你看到的错误是什么?您是否看到您的UserDetails服务通过CN从X.509证书被调用?从配置角度看,这看起来不错。你看到的错误是什么?您是否看到您的UserDetails服务被从X.509证书的CN调用 应用程序有一个带有登录按钮的“首页”,因此访问该页面不需要任何身份验证 这里有点不对劲。如果将servlet容器设置为要求客户机身份验证,则无法打开此类“对所有人开放”页面,在这种情况下,对于没有智能卡的用户,身份验证握手将不会成功,他们甚至看不到容器错误页面,而是浏览器错误 SpringSec可以使容器允许客户机身份验证,使登录页面向匿名用户开放,并保护其他页面。但我不建议将此应用于智能卡PKI应用程序。智能卡身份验证意味着安全重要性,在容器握手时让非智能卡用户提前退出更可靠。在这种情况下,您仍然可以在另一个端口上使用用户友好的登录页面,并使用链接到应用程序的“登录”按钮 如果您需要有关SpringSecurity设置的帮助,请在帖子中添加有关问题的更多信息 应用程序有一个带有登录按钮的“首页”,因此访问该页面不需要任何身份验证 这里有点不对劲。如果将servlet容器设置为要求客户机身份验证,则无法打开此类“对所有人开放”页面,在这种情况下,对于没有智能卡的用户,身份验证握手将不会成功,他们甚至看不到容器错误页面,而是浏览器错误 SpringSec可以使容器允许客户机身份验证,使登录页面向匿名用户开放,并保护其他页面。但我不建议将此应用于智能卡PKI应用程序。智能卡身份验证意味着安全重要性,在容器握手时让非智能卡用户提前退出更可靠。在这种情况下,您仍然可以在另一个端口上使用用户友好的登录页面,并使用链接到应用程序的“登录”按钮
如果您需要有关SpringSecurity设置的帮助,请在您的帖子中添加有关问题的更多信息。在Tomcat中,您可以使用Tomcat中的
clientAuth=“want”
将其设置为不需要客户端身份验证,但可以使用clientAuth=“want”来查找
public class AccountServiceImpl implements AccountService, UserDetailsService {
private static final Log log = LogFactory.getLog(AccountServiceImpl.class);
private AccountDao accountDao;
@Autowired
public void setAccountDao(AccountDao accountDao) {
this.accountDao = accountDao;
}
public UserDetails loadUserByUsername(String s) throws UsernameNotFoundException, DataAccessException {
log.debug("called loadUserByUsername()");
System.out.println("called loadByUsername()");
Account result = accountDao.getByEdpi(s);
return result;
}