Java Web 应用程序：使用自定义领域

Question

我正在编写一个java Web应用程序，需要通过Web服务执行登录。 当然，我正在使用的应用程序服务器（glassfish v2）提供的所有领域都无法做到这一点。 因此我必须自己写。 然而，我编写的领域实现似乎完全依赖于 glassfish，并且不能按原样在任何其他应用程序服务器中使用。

是否有任何标准或广泛支持的方法来实现自定义领域？ 是否可以以任何方式从 .war 部署该领域，或者它总是需要从服务器自己的类路径加载？

Answer 1

注意：下面的答案仅对 Java EE 5 有效。正如在其他答案之一中引起我注意的那样，Java EE 6 确实支持这一点。 因此，如果您使用的是 Java EE 6，请不要阅读此答案，而应阅读其他相关答案。

根据我自己的研究和对这个问题的回答，我发现答案如下：虽然JAAS是一个标准接口，但在各种应用服务器中编写、部署和集成JAAS Realm + LoginModule并没有统一的方法。

Glassfish v2 要求您扩展它自己的一些内部类，这些类本身实现 LoginModule 或 Realm。 但是，您无法自定义整个登录过程，因为 LoginModule 接口的许多方法在 Glassfish 的超类中被标记为最终方法。 自定义 LoginModule 和 Realm 类必须放置在 AS 类路径（而不是应用程序的）中，并且必须手动注册领域（不可能从 .war 进行部署）。

Tomcat 的情况似乎好一些，它允许您完全编写自己的 Realm 和 LoginModule，然后使用自己的 JAASRealm 将它们配置到应用程序服务器中（这会将实际工作委托给您的 Realm 和 LoginModule 实现） 。 然而，即使是 tomcat 也不允许从 .war 部署自定义领域。

请注意，显示我的结果的应用程序服务器似乎都无法充分利用所有 JAAS 回调。 它们似乎都只支持基本的用户名+密码方案。 如果您需要比这更复杂的东西，那么您将需要找到一个不受 Java EE 容器管理的解决方案。

作为参考，并且因为在我的问题的评论中要求它，所以这里是我为 GlassfishV2 编写的代码。

首先，这是 Realm 实现：

public class WebserviceRealm extends AppservRealm {

private static final Logger log = Logger.getLogger(WebserviceRealm.class.getName());

private String jaasCtxName;
private String hostName;
private int port;
private String uri;

@Override
protected void init(Properties props) throws BadRealmException, NoSuchRealmException {
    _logger.info("My Webservice Realm : init()");

    // read the configuration properties from the user-supplied properties,
    // use reasonable default values if not present
    this.jaasCtxName = props.getProperty("jaas-context", "myWebserviceRealm");
    this.hostName = props.getProperty("hostName", "localhost");
    this.uri = props.getProperty("uri", "/myws/EPS");

    this.port = 8181;
    String configPort = props.getProperty("port");
    if(configPort != null){
        try{
            this.port = Integer.parseInt(configPort);
        }catch(NumberFormatException nfe){
            log.warning("Illegal port number: " + configPort + ", using default port (8181) instead");
        }
    }
}

@Override
public String getJAASContext() {
    return jaasCtxName;
}

public Enumeration getGroupNames(String string) throws InvalidOperationException, NoSuchUserException {
    List groupNames = new LinkedList();
    return (Enumeration) groupNames;
}

public String getAuthType() {
    return "My Webservice Realm";
}

public String getHostName() {
    return hostName;
}

public int getPort() {
    return port;
}

public String getUri() {
    return uri;
}
}

然后是 LoginModule 实现：

public class WebserviceLoginModule extends AppservPasswordLoginModule {

// all variables starting with _ are supplied by the superclass, and must be filled
// in appropriately

@Override
protected void authenticateUser() throws LoginException {
    if (_username == null || _password == null) {
        throw new LoginException("username and password cannot be null");
    }

    String[] groups = this.getWebserviceClient().login(_username, _password);

    // must be called as last operation of the login method
    this.commitUserAuthentication(groups);
}

@Override
public boolean commit() throws LoginException {
    if (!_succeeded) {
        return false;
    }

    // fetch some more information through the webservice...

    return super.commit();
}

private WebserviceClient getWebserviceClient(){
    return theWebserviceClient;
}
}

最后，Realm 中必须绑定到 LoginModule。 这是在 JAAS 配置文件级别完成的，在 glassfish v2 中位于 yourDomain/config/login.conf。 在该文件的末尾添加以下行：

myWebserviceRealm { // use whatever String is returned from you realm's getJAASContext() method
    my.auth.login.WebserviceLoginModule required;
};

这就是我在 glassfish 上工作的原因。 同样，该解决方案不可跨应用程序服务器移植，但据我所知，目前还没有可移植的解决方案。

Answer 2

是否有任何标准或广泛支持的方式来实现自定义
领域？ 是否有可能以任何方式从 .war 部署该领域，或者
它总是需要从服务器自己的类路径加载吗？

绝对有一种标准方法来实现自定义领域，或者更一般地说，自定义身份验证模块。 这可以通过 JASPIC/JASPI/JSR 196 SPI/API 来完成。 JASPIC 是任何完整 Java EE 6 实现的标准部分，但不幸的是不是 Java EE 6 Web Profile 的一部分。

然而，尽管 JASPIC 是 Java EE 6 的一部分，但它并没有得到供应商的最佳支持。 GlassFish和WebLogic似乎有很好的实现，JBoss AS和Geronimo的问题有点多。 JBoss 关于此主题的首席工程师 (Anil Saldhana) 甚至表示他默认情况下拒绝激活 JASPIC 暂时。 Jboss AS 7.1 中的一些最严重的错误最近已修复，但由于没有公开发布JBoss 7.1.x 已经预定了，而 JBoss AS 7.2 还需要一段时间，这意味着到目前为止至少在 JBoss JASPIC 上是很麻烦的。

另一个不幸的问题是，实际的身份验证模块可能是标准化的，但没有声明性的方法（读取 XML 文件）来配置标准化的模块。

是否可以通过任何方式从 .war 部署该领域，或者是否可以
总是需要从服务器自己的类路径加载？

使用 JASPIC，身份验证模块（“领域”）确实可以从 .war 加载。 我不能 100% 确定规范是否保证这一点，但在我测试的 4 个服务器（GlassFish、WebLogic、Geronimo 和 JBoss AS）中，它们都支持这一点。 不幸的是，Geronimo 在其编程注册中存在某种竞争条件，因此您需要通过执行两次热部署来实现一种丑陋的解决方法，但最终它确实从 .war 加载了模块。

至于专有机制，至少JBoss AS始终支持从.war或.ear加载模块（例如org.jboss.security.auth.spi.AbstractServerLoginModule的子类）。

我最近写了一篇关于此主题的博客文章，其中包含更多详细信息。

Answer 3

您永远无法从 WAR 部署领域，因为该领域不是应用程序工件，而是容器工件（因此称为“基于容器的安全性”）。 您可以将应用程序配置为使用容器提供的特定领域，但应用程序本身无法提供该领域。

也就是说，虽然所有容器都不同，并且这些领域不可移植，但如果您正在寻求可移植性，简单的常识将减少与容器集成所需的一点粘合代码的差异。

Answer 4

快速浏览一下 Suns 文档后，您似乎必须编写一个自定义 LoginModule 来扩展其应用程序服务器特定类。 这对我来说似乎有点倒退，也是 Glassfish 的局限性。

如果您想让它更加可移植，我建议将大部分实现放在针对标准 JavaEE 接口开发的自定义 LoginModule 中，然后拥有一个特定于 Glassfish 的薄实现层，该实现层委托给标准的可移植实现。

Answer 5

请查看 Sun 关于此主题的文章。

我自己实际上从未这样做过，但我非常有信心每个 AS 都为您提供了在其上注册新领域（安全域）的选项。

它可能不会 100% 可移植，并且对于每个 AS，您可能需要不同的配置 XML，但基本上，代码没有任何不同的理由。