我知道如何设置使用表单身份验证并使用摘要密码（例如 SHA-256）的普通容器管理安全性。像这样的东西：
web.xml
<login-config>
<auth-method>FORM</auth-method>
<realm-name>jdbc</realm-name>
<form-login-config>
<form-login-page>/login.jsf</form-login-page>
<form-error-page>/login-error.jsf</form-error-page>
</form-login-config>
</login-config>
登录.xhtml
<form action="j_security_check">
<p><label>
Username:<br/>
<input type="text" name="j_username" />
</label></p>
<p><label>
Password:<br/>
<input type="password" name="j_password" />
</label></p>
<p>
<button type="submit">Submit</button>
</p>
</form>
非常简单 - 但我会really想要做的就是用全局盐和用户名对密码加盐。是的，我知道这不是ideal https://stackoverflow.com/questions/536584/non-random-salt-for-password-hashes/536756#536756但现在，我只是在构建一个概念验证。
容器（在本例中为 GlassFish 3）可以为我执行此操作吗？还是我必须这样做编写我自己的登录过滤器 https://stackoverflow.com/questions/1470591/basic-security-in-jsf/1484398#1484398？我之前已经这样做过（对于 J2EE 应用程序），但我的直觉告诉我，既然我正在使用 Java EE 6，就必须有一种更严格的方法来做到这一点。
我感觉您正在寻找一种快速（并且可能很脏？）的方法来修改内置身份验证提供程序。
正确的方法是为新的 JASPIC API 实现您自己的 Java 身份验证服务提供程序（JSR-196 http://jcp.org/aboutJava/communityprocess/final/jsr196/index.html）。它比较费力，但这种方法允许您以任何您喜欢的方式滚动实现，并且它应该与任何 Java EE 6 应用程序服务器兼容。
对于带有密码加盐的基本身份验证方案，实现这样的提供程序应该非常简单。您必须考虑管理用户和密码，但一种解决方案可能是让您的提供商重复使用 Glassfish 身份验证领域中定义的用户，这样您只需自己管理自定义加盐密码。
有一个关于 WebSphere 的很好的教程，您应该能够适应 Glassfishhere http://publib.boulder.ibm.com/infocenter/wasinfo/beta/index.jsp?topic=/com.ibm.websphere.base.doc/info/aes/ae/tsec_jaspi_develop.html.
本文内容由网友自发贡献，版权归原作者所有，本站不承担相应法律责任。如您发现有涉嫌抄袭侵权的内容，请联系:hwhale#tublm.com(使用前将#替换为@)
