使用 SSPI 从 Windows 上运行的 Java 应用程序获取 SSO

Question

我有一个在 Windows 上运行的 Java 应用程序，需要使用 Kerberos/SPNEGO 对 Web 应用程序进行身份验证。我知道如何配置 JAAS 来实现此目的，但我发现 Java（JDK6 和 JDK7beta）Kerberos 实现缺少一些我需要的重要功能。例如，支持引用或使用 DNS 来确定主机的领域（我有一个多领域环境）。

是否有第三方模块可以使用Windows本机Waffle 及其 WindowsLoginModule，但它似乎没有执行 SSO，因为它要求用户将他们的凭据重新输入到应用程序中。

Answer 1

我们也遇到过类似的问题。我们面临的主要问题是使用 Windows UAC 时 GSS-API 实现失败，我们使用 Waffle 解决了这个问题。

Waffle 基本上是 JNA 对 SSPI 调用的包装器。我们通过覆盖类 sun.net.www.protocol.http.NegotiatorImpl 成功地使用 Waffle 实现了 SSO：

package sun.net.www.protocol.http;

import java.io.IOException;
import waffle.windows.auth.impl.WindowsSecurityContextImpl;

public class NegotiatorImpl extends Negotiator {

private String serviceName;

public NegotiatorImpl(HttpCallerInfo hci) throws IOException {
    this.serviceName = "HTTP/" + hci.host.toLowerCase();
}

    @Override
    public byte[] firstToken() throws IOException {
        return WindowsSecurityContextImpl.getCurrent("Negotiate", serviceName).getToken();
    }

    @Override
    public byte[] nextToken(byte[] in) throws IOException {
        return new byte[0];
    }
}

然后您可以创建一个仅包含此类的 JAR，并将其与 Waffle 一起复制& JNA JAR 到 JVM 的 ./jre/lib/endorsed。使用 JVM 的 Java 认可的标准覆盖机制，这替换 JVM 的默认 Negotiator 实现。