带有X.509证书的Spring Security

时间:2010-02-10 20:43:34

标签: java spring-security x509certificate

我正在慢慢地试图配置Spring Security 3.0.0来保护应用程序。

我已将服务器(jetty)配置为需要客户端身份验证(使用智能卡)。但是,我似乎无法正确获取applicationContext-security.xml和UserDetailsS​​ervice实现。

首先,从应用程序上下文文件:

<?xml version="1.0" encoding="UTF-8"?>
<beans xmlns="http://www.springframework.org/schema/beans"
  xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance"
   xmlns:context="http://www.springframework.org/schema/context"
   xmlns:security="http://www.springframework.org/schema/security"
   xsi:schemaLocation="http://www.springframework.org/schema/beans http://www.springframework.org/schema/beans/spring-beans-3.0.xsd
            http://www.springframework.org/schema/context http://www.springframework.org/schema/context/spring-context-3.0.xsd
            http://www.springframework.org/schema/security http://www.springframework.org/schema/security/spring-security-3.0.xsd">


<security:global-method-security secured-annotations="enabled" />

<security:http auto-config="true">
    <security:intercept-url pattern="/**" access="IS_AUTHENTICATED_ANONYMOUSLY" requires-channel="https"/>
    <security:x509 subject-principal-regex="CN=(.*?)," user-service-ref="accountService" />
</security:http>

<bean id="accountService" class="com.app.service.AccountServiceImpl"/>

UserDetailsS​​ervice如下所示:

public class AccountServiceImpl implements AccountService, UserDetailsService {

private static final Log log = LogFactory.getLog(AccountServiceImpl.class);

private AccountDao accountDao;

@Autowired
public void setAccountDao(AccountDao accountDao) {
    this.accountDao = accountDao;
}

public UserDetails loadUserByUsername(String s) throws UsernameNotFoundException, DataAccessException {

    log.debug("called loadUserByUsername()");
    System.out.println("called loadByUsername()");

    Account result = accountDao.getByEdpi(s);
    return result;

}

}

该应用程序有一个带有“登录”按钮的“首页”,因此访问它不需要任何形式的身份验证。

感谢任何帮助。

2 个答案:

答案 0 :(得分:5)

  

该应用程序有一个带有“登录”按钮的“首页”,因此访问它不需要任何形式的身份验证。

这里出了点问题。如果将servlet容器设置为 require 客户端身份验证,则不能拥有这样的open-for-all页面,在这种情况下,对于没有智能卡的用户,auth握手将不会成功他们甚至不会看到容器错误页面 - 它将是浏览器错误。

可以将容器设置为 允许 客户端身份验证,并使登录页面对匿名用户开放并通过SpringSec保护其他页面。但我不建议将此用于smartcard-PKI应用程序。智能卡身份验证意味着安全性的重要性,让非智能卡用户在容器握手时尽早抛出更可靠。在这种情况下,您仍然可以在另一个端口上拥有用户友好的登录页面,其中“登录”按钮链接到您的应用程序。

如果您需要有关SpringSecurity设置的帮助,请在帖子中添加有关问题的更多信息。

答案 1 :(得分:1)

从配置角度来看,这看起来很好。你看到的错误是什么?您是否看到使用X.509证书中的CN调用UserDetailsS​​ervice?