Question

我一直在尝试根据以下链接启用CLIENT-CERT领域身份验证：

http://twoguysarguing.wordpress.com/2009/11/03/mutual-authentication-with-client-cert-tomcat-6-and-httpclient/

但是，尽管使用了以下web.xml，

<web-app>
  <security-constraint>
    <web-resource-collection>
      <web-resource-name>Demo App</web-resource-name>
      <url-pattern>/secure/*</url-pattern>
    </web-resource-collection>
    <auth-constraint>
      <role-name>secureconn</role-name>
    </auth-constraint>
  </security-constraint>
  <login-config>
  <auth-method>CLIENT-CERT</auth-method>
  <realm-name>Demo App</realm-name>
  </login-config>
  <security-role>
  <role-name>secureconn</role-name>
  </security-role>
</web-app>

为了使HTTPS能够正常工作，我使用了以下链接：

http://thoughtfulsoftware.wordpress.com/2014/01/05/setting-up-https-for-spring-boot/

因此我有这样的事情：

@Configuration
@ComponentScan
@EnableAutoConfiguration
public class Application {

  @Bean
  public EmbeddedServletContainerFactory servletContainer() {
      TomcatEmbeddedServletContainerFactory factory = new TomcatEmbeddedServletContainerFactory();
      factory.addContextCustomizers((TomcatContextCustomizer) customizer ->
      {
         //this is empty at the moment
      });


      factory.addConnectorCustomizers((TomcatConnectorCustomizer) (Connector con) -> {
         //...configuration
      });
      return factory;

我也有这个来启用Spring Security：

@Configuration
@EnableWebMvcSecurity
public class WebSecurityConfig extends WebSecurityConfigurerAdapter {
  @Override
  protected void configure(HttpSecurity http) throws Exception {
     //...some configuration from the sample at https://spring.io/guides/gs/securing-web/
  }
  ...
}

在我看来，嵌入式Tomcat 并不关心} web.xml内容，所以我猜我需要从Java配置它，可能使用{{ 1}}。我发现没有任何资源可以做到这一点，而且大多数参数都是字符串，所以我猜我要么做得非常错，要么就是没有记录，或者我正在看错误的地方。

所以我的问题是，

http://java.boot.by/wcd-guide/ch05s03.html

如果没有使用web.xml，如何使用Spring-Boot指定领域，安全约束和登录配置/身份验证方法/ url-pattern？

替代问题，

如果可以在Spring Boot中使用嵌入式Tomcat使用web.xml，那该怎么办？

编辑：实际上，考虑到我正在尝试使用 CLIENT-CERT 身份验证方法，这可能是Context Customizer，它的样本更少......我迷失了。

Answer 1

这里是一个在容器级别使用基于证书的身份验证的示例：https://github.com/SpringOne2GX-2014/microservice-security/tree/master/certs（它更多地关于将存在于server.xml中的内容而不是非嵌入式中的web.xml中的内容容器）。该应用程序是安全的。如果您添加WebSecurityConfigurationAdapter并致电http.x509()，您还会将经过身份验证的主体转换为Authentication，并在Spring Security的常用位置提供。

Spring-Boot：在Java代码配置（非XML）中指定REALM（安全约束和角色）和CLIENT-CERT身份验证？

1 个答案: