我们使用JAAS的地方

Question

我正在学习Java Security JCE/JAAS。我不能得到一个例子，我们需要在真正的word we应用程序中实现JAAS登录模块。

有没有人可以指导我在我的web应用程序中实现JAAS。据我所知，这是身份验证和授权服务。

/如果我现在的理解是正确的，这意味着如果有任何服务(如LDAP)正在我们的we服务器或任何其他we服务器上运行，并且如果我们想使用该服务，那么我们需要实现JAAS来验证我们的应用程序。

Answer 1

JAAS是在容器上实现登录的一种方式。JAAS的主要好处在于它是一个集成在JRE中的标准框架-因此您可以获得大量信息、示例、连接器等-并且它适当地分离了用户身份验证的各种关注点。

特别是，它清楚地将身份验证(验证提供的凭据)和授权(授予用户的角色和权限)分开。

虽然身份验证通常是“通用的”或“外部的”，例如使用LDAP服务器，但是身份验证通常与应用程序紧密耦合:角色和权限通常特定于应用程序解决的业务问题。

实现您自己的JAAS模块是解决此问题的一种简单方法，同时保持在定义良好的框架的边界内，并且不必提供低级实现来向模块注入容器的登录周期和会话管理。

Answer 2

您不需要使用标准servlet容器实现您自己的JAAS登录模块，除非您想要修改它的标准行为，因为它们为您提供了几种实现它的标准方法。

在这里您将找到一个教程，展示如何在Tomcat中使用表单login (不需要滚动您自己的LoginModule)：http://www.avajava.com/tutorials/lessons/how-do-i-use-form-authentication-with-tomcat.html

Answer 3

通常，作为应用程序开发人员，您不实现JAAS模块。相反，您可以从正在使用的应用程序服务器中包含的预先存在的模块中选择需要用于应用程序的JAAS模块。大多数应用程序服务器都附带各种实现，这些实现允许您执行常见的操作，如使用数据库、ldap、active directory、kerberos等中的信息进行身份验证。您可以确定需要使用哪个身份验证源，并对应用程序进行适当的配置。