JAAS微服务认证

Question

我正在尝试设计一个JAAS微服务，它处理多个J2EE应用程序的用户身份验证。目前，我们有多个应用程序可以对我们的LDAP进行身份验证，并具有单独的角色系统。 现在我不得不设计应用程序和身份验证后端之间的接口。

通过自定义LoginModule：设计一个自定义登录模块，它使用我们的LoginService中的非安全EJB接口进行身份验证和授权，但我记得读过登录模块无法注入EJB /使用EJB。

这是正确的起点，还是我有其他可能从我们的应用程序中重构JAAS安全性？有人曾经做过类似的事吗？

Answer 1

之前我曾对Java安全感到好奇。我找到了很好的框架Picketlink。

尽管它需要很高的入门门槛，但它比JAAS更灵活，能够处理最典型的需求。