Подлинный метод клиентского CERT может использоваться с областью JDBC в коте?

JDBCRealm поддерживает клиентский CERT

Да, это может. Однако существует немного причуд, чтобы не упустить.

Имена пользователей

Столбец имени пользователя должен содержать отличительное имя предмета сертификата как символьная строка. К сожалению, использование Tomcat метода для получения этой строки приводит к зависящему от реализации результату, таким образом, возможно, если бы необходимо было переключиться на нового поставщика систем обеспечения безопасности или даже просто обновить Среду выполнения Java, то Вы, возможно, должны были бы отобразить свои имена пользователей на новую форму. Необходимо будет протестировать развертывание для обнаружения, какой формат используется.

А именно, getName() обращен Principal возвращенный X509Certificate.getSubjectDN() получить a String, который используется в качестве имени пользователя. При чтении документации Вы найдете, что это больше не лучший подход.

Аутентификация

Самый простой набор должен был бы загрузить Ваши доверительные привязки в базу доверенных сертификатов Tomcat, которая настроена в файле "server.xml". С этой установкой любую клиентскую цепочку сертификата, которая является корнем в одной из Вашей доверяемой АВАРИИ, будут считать "аутентифицируемой", и справедливо так — аутентификация означает, что идентификационные данные известны и отличны от авторизации, которая определяет то, что тем идентификационным данным позволяют сделать.

Авторизация

Так как любой с сертификатом со знаком будет аутентифицироваться, необходимо настроить роли для защиты частных ресурсов в приложении. Это сделано путем установки ограничений безопасности, связанных с ролями, в файле "web.xml". Затем в Вашей базе данных заполните "ролевую" таблицу, чтобы предоставить доверяемым пользователям с дополнительными ролями.

Отношения между пользовательской таблицей и ролевой таблицей работают точно, как это было бы с ОСНОВАННОЙ НА ФОРМЕ авторизацией и должно быть использовано для предоставления соответствующих разрешений пользователям, которым Вы доверяете.

Примечание по паролям

JDBCRealm создаст новый Принципал, который действительно несет пароль, но если Ваше приложение downcasts это Principal к определенной для Tomcat реализации (GenericPrincipal) это свойство не будет видимо Вам, и действительно не имеет значения, что Вы вставляете тот столбец. Я рекомендую NULL.

Другими словами, при использовании JDBCRealm с клиентом-автором проигнорировано поле пароля. Это GenericPrincipal имеет метод для доступа к базовому принципалу, но к сожалению, Principal из сертификата не проведен; JDBCRealm установит его в NULL; единственный полезный метод в этом сценарии мог бы быть getName() (возврат подчиненного DN является некоторыми возможно нестандартная форма).

Структура таблицы и содержание

Используйте точно ту же структуру таблицы, Вы были бы для ОСНОВАННОГО НА ФОРМЕ JDBCRealm (или DatasourceRealm). Единственная разница будет в содержании. Имя пользователя будет текстовым представлением подчиненного отличительного имени, и пароль будет NULL или некоторое фиктивное значение.