Undertow 是否有等效的 Tomcat WebAuthentication 用于在 Web 层中进行身份验证?

Question

这可能是"XY问题"问题的一个实例;如果是，请随时通过纠正我的假设来回答。

---

更新：有一次，我试图通过做loginRequest.login(username, password);来使用HttpServletRequest，但这不会编译，产生关于login(String, String)在HttpServletRequest中找不到的编译错误，所以我放弃了这个角度。但是，我刚刚找到一篇文章，表明这是正确的更改，所以我又回到了那条路上。

有人告诉我，也许我使用的是旧版本的课程。我的编译时类路径上可能有旧HttpServletRequest。我现在正在研究这个问题。

---

从 Tomcat(在 JBoss 5 中(切换到 Undertow(在 JBoss 7 中(后，我们的用户身份验证页面被破坏了。

我们有一个HttpServlet，它曾经在 JBoss 5 的 Tomcat Web 服务器中运行。因此，它使用 Tomcat 的WebAuthentication如下所示：

import org.jboss.web.tomcat.security.login.WebAuthentication;
import java.io.IOException;
import javax.servlet.http.*;
// ... import etc.
public class MyHttpServlet extends HttpServlet
{
private void loginCase( HttpServletRequest loginRequest,
HttpServletResponse loginResponse ) throws ServletException, IOException, RemoteException
{
String username;
String password;
// ... other stuff
// Authenticate with the web tier. This invokes the MyLoginModule,
// which uses the user database tables to authenticate and establish
// the user's role(s). This servlet does role checking, but this step
// is necessary to get the user's credentials into the container, which
// secures remote EJBs. If this is not done, the servlets and JSPs will
// not be able to properly access secured EJBs.
WebAuthentication webAuth = new WebAuthentication();
boolean loginResult = webAuth.login(username, password);
// ...
}
}

紧接着使用WebAuthentication之前的评论，关于使用Web层进行身份验证的评论不是我添加的。这是在原始代码中，看起来它是关于为什么选择WebAuthentication作为身份验证机制的解释。

我的理解是Undertow/JBoss7不再有可用的WebAuthentication类。

在运行时，当用户提交其名称/密码条目时，会显示一个带有消息org.jboss.web.tomcat.security.login.WebAuthentication from [module "deployment.myproject.ear.viewers.war" from Service Module Loader]ClassNotFoundException

现在我们不再有权访问WebAuthentication(我什至将包含必要类的 Tomcat 的 jar 文件复制到我的 .ear 文件的 lib/目录中，但 Undertow 似乎并不欣赏这一点，我得到了不同的错误(，我正在寻找替代品。

我的理解是，我只需要让用户通过 Web 层进行身份验证，本质上是WebAuthentication.login的替代品。WebAuthentication的唯一用途是上面代码示例中提到的两行。

我可以用什么来代替WebAuthentication来完成这项工作？

显然，一个简单的类替换会很棒，但如果它必须比这更复杂，那么只要我们能让它工作，那就这样吧。

Answer 1

一般来说，用户的管理被排除在JEE规范之外，因此每个供应商都以不同的方式进行管理。看看内置在 JBoss/Wildfly 中的 DatabaseServerLoginModule 的文档。 如果这还不够(而且我不喜欢它使用的表格布局(，另一种方法是编写自己的：

...
import org.jboss.security.SimpleGroup;
import org.jboss.security.SimplePrincipal;
import org.jboss.security.auth.spi.UsernamePasswordLoginModule;
...
/**
* Extends a WildFly specific class to implement a custom login module.
* 
* Note that this class is referenced in the standalone.xml in a 
* security-domain/authentication/login-module section.  If the package or name
* changes then that needs to be updated too.
* 
*/
public class MyLoginModule extends UsernamePasswordLoginModule {
private MyPrincipal principal;
@Override
public void initialize(Subject subject, CallbackHandler callbackHandler,
Map<String, ?> sharedState, Map<String, ?> options) {
super.initialize(subject, callbackHandler, sharedState, options);
}
/**
* While we have to override this method the validatePassword method ignores
* the value.
*/
@Override
protected String getUsersPassword() throws LoginException {
return null;
}
/**
* Validates the password passed in (inputPassword) for the given username.
*/
@Override
protected boolean validatePassword(String inputPassword, String expectedPassword) {
// validate as you do today - IGNORE "expectedPassword"
}
/**
* Get the roles that are tied to the user.
*/
@Override
protected Group[] getRoleSets() throws LoginException {
SimpleGroup group = new SimpleGroup("Roles");
List<String> userRoles = // get roles for a user the way you do currently
for( String nextRoleName: userRoles ) {
group.addMember(new SimplePrincipal(nextRoleName));
}
return new Group[] { group };
}
/**
* This method is what ends up triggering the other methods.
*/
@Override
public boolean login() throws LoginException {
boolean login;
login = super.login();
if (login) {
principal = // populate the principal
return login;
}
@Override
protected Principal getIdentity() {
return principal != null ? principal : super.getIdentity();
}
}

这使您更接近标准JEE安全性。 如果不允许，甚至不会调用您的方法(基于web.xml中的security-constraint节(，并且您不必验证用户是否已登录。

一开始有点令人生畏，但一旦它起作用，它就非常简单了。

说了这么多，我已经删除了这样的代码并转移到Keycloak。 这是一个单独的授权引擎，也与 Tomcat 集成。它具有大量功能，例如社交登录等。