0

我正在尝试使用 Jaas、Java Authentication and Autorisation 服务。服务器是 App Engine，因此无法编辑 web.xml。我正在使用一个 servlet 过滤器，例如：

@Override
public void doFilter(ServletRequest request, ServletResponse response, FilterChain chain) 
    throws IOException, ServletException {
    try {
        LoginContext lc = new LoginContext("JaasSample", new AuthenticationCallbackHandler());
        lc.login();
        chain.doFilter(request, response);
        lc.logout();
    } catch (LoginException e) { /* lc.login() fails */}
}

对 LoginContext 的调用会检查策略并引发以下异常：

java.security.AccessControlException: 
access denied (javax.security.auth.AuthPermission createLoginContext.JaasSample)

我使用的代码来自Oracle 参考。他们解释说，在存在安全管理器的情况下，有必要以这种方式授予一些权限：

grant {
    permission javax.security.auth.AuthPermission "createLoginContext.JaasSample";
}

我只是不明白为什么要在 JAR 中制作。

我可以在运行配置中使用 -D--enable_all_permissions=true 绕过此检查。（但这要解决进入 prod）然后，在 System.getProperty("user.home")/.java.login.config 中搜索 Jaas 配置文件。难道不是在项目资源中吗？这如何在本地/生产中工作？

配置文件如下：

JaasSample {
    com.sun.security.auth.module.Krb5LoginModule required;
};

非常感谢。

附言。Spring Security 可以与 Jaas 一起使用并在 App Engine 上工作。pps。无法使用 Spring Security，因为它会启动 Spring 上下文，这会减慢 App Engine 的启动速度。并且一直在这个环境下启动。

4

2 回答 2

0

使用 $JAVA_HOME/bin 目录中的 policytool 来授予权限。

于 2011-03-15T18:13:28.993 回答
0

该问题仅存在于 App Engine 开发模式中；一旦交付他们就没有这样的例外。

因此，-D--enable_all_permissions=true在运行配置中使用就足够了。

于 2011-03-16T17:46:23.667 回答