Glassfish 2.1 CLIENT-CERT 如何获得委托人

Question

我有一个 Web 应用程序想要与客户端证书一起使用。我已在 web.xml 中设置了以下内容，并且可以通过 https 访问我的应用程序。

<security-constraint>
    <web-resource-collection>
        <web-resource-name>securedapp</web-resource-name>
        <url-pattern>/*</url-pattern>
        <http-method>DELETE</http-method>
        <http-method>GET</http-method>
        <http-method>POST</http-method>
        <http-method>PUT</http-method>
    </web-resource-collection>
    <user-data-constraint>
        <transport-guarantee>CONFIDENTIAL</transport-guarantee>
    </user-data-constraint>
</security-constraint>

<login-config>
    <auth-method>CLIENT-CERT</auth-method>
</login-config>

握手效果很好。我只是将证书用作一种非常重要的安全措施。我只是想知道所提供的证书的主体，不需要登录。但是，当我尝试从会话中获取主体时，它是空的。

我也尝试过，

X509Certificate[] certs = (X509Certificate[]) request.getAttribute("javax.servlet.request.X509Certificate");

但这也是空的。有谁知道我如何从我的证书中获得本金？

非常感谢 努什

Answer 1

您确定 Glasfish 确实请求客户端证书吗？

我尝试对 Tomcat 执行相同的操作，结果发现，如果您将 auth-constraint 放入 security-constraint 中，Tomcat 只会请求客户端证书，如下所示

<security-constraint>
    ...
    <auth-constraint>
        <role-name>*</role-name>
    </auth-constraint>
    ...
</security-constraint>

： auth-constraint Tomcat 不需要登录用户，因此不需要请求客户端证书。 transport-guarantee 仅强制使用 HTTPS。

但即便如此，我也必须将证书的用户添加到容器的角色管理中，并为用户分配角色，因为否则用户将无法访问 URL 并获得 HTTP 401 响应。因此，如果您只想要一个客户端证书而不将其与容器中的用户关联，那么它将无法工作。

在 Tomcat 中，当 role-name 为 * 时，您可以配置一个领域来接受没有角色的用户，但您仍然需要将用户添加到身份验证领域，这不会如果您想接受所有受信任的证书并亲自检查证书主体，则没有帮助。也许这对 Glasfish 来说是可能的。