security - 将自定义 LoginModule 添加到我的 Web 应用程序的最佳方式

Question

我需要在使用DatabaseServerLoginModule和的 Web 应用程序中实现用户锁定JBoss5。我打算编写一个自定义登录模块类来实现这一点。我的下一个问题是：我应该把我的自定义登录模块类放在哪里？经过一番研究，我找到了几个解决方案：

1. 将登录模块类部署在 JAR 中作为独立模块，独立于 webapp
2. 将登录模块类作为 webapp 的一部分部署在一个 JAR 里面WEB-INF/lib/

我的 Web 应用程序将被打包并发送给客户，客户将这个包和 JBoss 分别安装在服务器上。我的问题是：我应该把我的自定义登录模块类放在哪里？任何建议都会非常有帮助。

Answer 1

如果我是数据中心，我希望有两个包：

• 一个包含登录模块
• 另一个用于实际应用

原因

• 数据中心可能对敏感的用户数据、身份验证等负有特殊责任。因此，对于登录模块，他们甚至可能有一个特殊的内部审查过程（这通常不适用于普通应用程序）。为了避免在每次应用程序更新时进行审查，最好使用单独的包。为了快速回顾，小包装更好。

• 可能有其他应用程序使用相同的登录模块

• 数据中心必须是偏执狂：自带身份验证的应用程序可能会被滥用来安装后门。同样，内部或法律要求甚至可能不允许这样做。