rmi over ssl/tls，有什么方法可以安全地识别调用者？
有什么方法可以在运行被调用方法（服务器端）时安全地获取方法调用者？
我知道有一个可以通过服务器属性访问的客户端字符串，但它不是太“弱”了吗？ 有什么方法可以获取例如客户端证书所有者吗？
请给我一些提示，之后会立即 RTFD ;)
提前致谢
is there any way to securely get the method invoker while running the called method (server-side)?
i know there's a client string reachable through the server properties, but isn't it too "weak"? any way to get e.g. the client certificate owner?
please give me a couple of hints, WILL RTFD right afterwards ;)
thanks in advance
如果你对这篇内容有疑问，欢迎到本站社区发帖提问 参与讨论，获取更多帮助，或者扫码二维码加入 Web 技术交流群。
绑定邮箱获取回复消息
由于您还没有绑定你的真实邮箱，如果其他用户或者作者回复了您的评论，将不能在第一时间通知您！
发布评论
评论（2）
这是 RMI/SSL 的主要问题之一。 除了通过额外的代码（例如埃里克森的建议）之外，没有其他方法可以获取对等证书。 这实际上使它不安全，因为无法执行授权步骤：您可以获得隐私、完整性和身份验证，但没有授权。 有关详细讨论，请参阅我的白皮书。
This is one of the major problems with RMI/SSL. There is no way to obtain the peer certificate other than via extra code such as erickson's suggestion. That actually makes it insecure, as there is no way of performing an authorization step: you get privacy, integrity, and authentication, but no authorization. See my White Paper for an extended discussion.
我还没有想得太彻底，但是我建议插入一个自定义
TrustManager，在对调用者进行身份验证后，将客户端证书与调用者的线程关联起来。 这可以简单地使用 ThreadLocal 或使用 JAAS 架构来完成。I haven't thought this through too thoroughly, but off-hand, I'd suggest a plugging in a custom
TrustManagerthat, after authenticating the caller, associates the client certificate with the caller's thread. This could be done simply with aThreadLocal, or using the JAAS architecture.