java - Tomcat 容器管理的 SSO Valve 和 Spring Security

Question

我们有十几个传统的 Web 应用程序（每个都有自己的应用程序上下文），它们使用 Tomcat 的容器管理安全性进行简单的基于表单的身份验证。我们目前使用 Tomcat 的单点登录 Valve 来允许经过身份验证的用户在 Web 应用程序之间跳转，而无需重新进行身份验证。我们还在使用 Spring Security 框架开发新的 Web 应用程序。

是否可以让通过新的 Spring Security 应用程序进行身份验证的用户也能够跳转到旧的遗留（非 Spring）应用程序而无需重新进行身份验证？他们是一种将 Spring Security 与 Tomcat SSO 阀连接起来的方法吗？

我更愿意避免对旧版 Web 应用程序进行任何更改，但要了解它是否似乎不可能。

Answer 1

您将能够使用 J2eePreAuthenticatedProcessingFilter 来做到这一点：http: //static.springsource.org/spring-security/site/docs/3.2.x/reference/htmlsingle/#d4e2766

请注意：配置 Tomcat SSO 后，它会为 Web 应用程序提供 Java EE 身份验证。这意味着如果应用程序通过表单身份验证或 Tomcat SSO 进行身份验证，则它是透明的。最后是 Java EE 身份验证。因此，您需要使用 J2eePreAuthenticatedProcessingFilter 才能使用 Tomcat 提供的 Java EE 身份验证。