Tomcat认证授权与简单的SSO
博客专区 > xpbug 的博客 > 博客详情
Tomcat认证授权与简单的SSO
xpbug 发表于4年前
Tomcat认证授权与简单的SSO
  • 发表于 4年前
  • 阅读 9169
  • 收藏 246
  • 点赞 18
  • 评论 9
摘要: 为Tomcat应用web开发登录页面,开启网站的认证与授权,以及简单的SSO介绍。

回顾

在前几天,我使用apache+tomcat搭建了一个集群,有一个简单的网站应用。Apache httpd与tomcat集群

今天在此基础上,我要为其开发一个登录页面,并开启网站的认证和授权。

基本概念

在动手之前,我需要先了解网站认证和授权的几个基本组成部分的概念。是什么构成了网站应用的认证和授权?

  1. Realm - 翻译过来叫做“域”。Realm是web容器所持有的用户集合。无论tomcat, glassfish,jboss还是websphere,均是符合j2ee规范或最佳实现。Realm是需要网站系统管理员进行配置的。常见的Realm有三种:数据库,LDAP和文件系统。数据库realm是指用户信息都存在数据库中,Ldap则存放在ldap中,文件系统的realm则是用户信息按照一定的格式,存放于文件中。Realm是认证的关键,web容器会将用户输入的用户名和密码跟realm中的用户信息进行比对。当比对成功的时候,认证也就成功了。

  2. Role - 角色。 这是授权的部分。当Realm被配好以后,系统管理员可以为realm中的用户分配角色。建立用户role-mapping. 每次用户通过web容器的认证以后,web容器会将其role信息也查询出来,放入用户信息中。

  3. security-constraint。 这是web应用web.xml中的配置。 一个web应用将在web.xml中声明其受保护的资源,并声明某种角色可以访问受保护的资源。

  4. 认证方式。 一般认证方式分为Basic Authentication(BA)和Form-based Authentication(FBA)。

  5. 密码加密。一旦黑客黑了服务器,明文密码就会全部暴露了。所以,需要对密码进行加密存放。一般使用MD5 SHA算法对密码进行加密。

以上1,2,5是由网站管理员来配置开发。3,4是由网站开发人员来配置和开发的。

本实验简介

在前篇实验结果的基础上,为网站开启ldap认证,并制作一个login页面。实验所用的ldap软件为开源的openLDAP for windows版本。

OpenLDAP安装配置

  1. 下载并安装软件 http://sourceforge.net/projects/openldapwindows/ OpenLDAP会被安装成windows service.

  2. 修改slapd.conf,声明自己的后缀和管理员. 重启service.

    database	bdb
    suffix		"dc=mycompany,dc=com"
    rootdn		"cn=admin,dc=mycompany,dc=com"
    rootpw    admin
  3. 创建my.ldif文件,借用tomcat文档中的案例,文件内容如下。其中定义了两个用户,和两个角色。

    # Define top-level entry
    dn: dc=mycompany,dc=com
    objectClass: dcObject
    objectClass: organization
    o: mycompany
    dc:mycompany
    
    # Define an entry to contain people
    # searches for users are based on this entry
    dn: ou=people,dc=mycompany,dc=com
    objectClass: organizationalUnit
    ou: people
    
    # Define a user entry
    dn: uid=jjones,ou=people,dc=mycompany,dc=com
    objectClass: inetOrgPerson
    uid: jjones
    sn: jones
    cn: janet jones
    mail: j.jones@mycompany.com
    userPassword: janet
    
    # Define a user entry for Fred Bloggs
    dn: uid=fbloggs,ou=people,dc=mycompany,dc=com
    objectClass: inetOrgPerson
    uid: fbloggs
    sn: bloggs
    cn: fred bloggs
    mail: f.bloggs@mycompany.com
    userPassword: fred
    
    # Define an entry to contain LDAP groups
    # searches for roles are based on this entry
    dn: ou=groups,dc=mycompany,dc=com
    objectClass: organizationalUnit
    ou: groups
    
    # Define an entry for the "red" role
    dn: cn=red,ou=groups,dc=mycompany,dc=com
    objectClass: groupOfUniqueNames
    cn: red
    uniqueMember: uid=jjones,ou=people,dc=mycompany,dc=com
    uniqueMember: uid=fbloggs,ou=people,dc=mycompany,dc=com
    
    # Define an entry for the "black" role
    dn: cn=black,ou=groups,dc=mycompany,dc=com
    objectClass: groupOfUniqueNames
    cn: black
    uniqueMember: uid=fbloggs,ou=people,dc=mycompany,dc=com
  4. 运行命令 slapadd.exe -l my.ldif

  5. 验证条目添加成功,运行查询命令 ldapsearch.exe -x -b "dc=mycompany,dc=com" "objectClass=*"

OpenLDAP安装配置成功,我有了下面两个用户:

uid\group red black
jjones Y Y
fbloggs

Y

为Tomcat配置Realm

tomcat的realm可以配置在server.xml中的<engine>, <host>和<context>下面。分别表示realm的作用范围。我抱着从简的态度,将realm配置在<engine>下面,这样,整个tomcat上的application都可以使用此realm. 在server.xml的<engine>下面替换老的realm,添加如下代码:

<!-- <Realm className="org.apache.catalina.realm.UserDatabaseRealm"
               resourceName="UserDatabase"/>
	    -->
<Realm   className="org.apache.catalina.realm.JNDIRealm"
    connectionName="cn=admin,dc=mycompany,dc=com"
    connectionPassword="admin"
     connectionURL="ldap://localhost:389"
      userPassword="userPassword"
       userPattern="uid={0},ou=people,dc=mycompany,dc=com"
       <!--userRoleName="memberOf"-->
          roleBase="ou=groups,dc=mycompany,dc=com"
          roleName="cn"
        roleSearch="(uniqueMember={0})"
/>

重启tomcat集群。

为Web应用配置Basic Authentication

我要为https://www.test0.com/sessiontest/successful.jsp配置BA,只有role=red才可以访问此页面。

修改web应用的web.xml,添加如下代码:

<security-constraint>
  <web-resource-collection>
    <web-resource-name>result</web-resource-name>
    <url-pattern>/successful.jsp</url-pattern>
  </web-resource-collection>
  <auth-constraint>
    <role-name>red</role-name>
  </auth-constraint>
</security-constraint>
<login-config> 
    <auth-method>BASIC</auth-method> 
    <realm-name>tomcat</realm-name> 
</login-config>
<security-role>
  <role-name>red</role-name>
</security-role>
<security-role>
  <role-name>black</role-name>
</security-role>

然后重新打包部署sessiontest.war. 对网站进行测试,select.jsp是可以任意访问的,当点击submit以后,必须对浏览器弹出的BA认证框输入用户名和密码才能post成功。

为Web应用配置Form-based Authentication

这次,我们要设计一个登录页面。用户可以随意浏览购物车,选择想要的东西,但当用户点击submit的时候,我们需要用户必须登录,才能提交订单。所以,我们需要对页面https://www.test0.com/sessiontest/successful.jsp进行FBA保护。

首先设计一个登录页面login.html

<form action="j_security_check" method="post">
    Username<input type="text" name="j_username" /><br />
    Password<input type="password" name="j_password" /><br />
    <input type="submit" value="login" />
</form>

注意form中的action已经user和password的input的name属性,“j_security_check","j_username"和"j_password"这些事固定的,严格遵循J2EE规范。将login.html放入select.jsp同级目录下。

关于logout,我就不做设计了,很简单,只需要执行session.invalidate(),然后跳转到登出页面即可。

接下来,我们修改web.xml,配置FBA. 这里只需要替换之前BA中的的<login-config>:

<login-config> 
    <auth-method>FORM</auth-method> 
    <form-login-config>
        <form-login-page>/login.html</form-login-page>
        <form-error-page>/login.html</form-error-page>
    </form-login-config>
</login-config>

将web应用重新打包部署。重启tomcat。

注意:使用mod_proxy_balancer +mod_ajp+ AJP的方式连接tomcat,存在着一个未知错误。当用户没有登录,访问被保护资源的时候,按照常理,浏览器会显示我们配置好的login form。但AJP和tomcat之间的通信会在此断掉。这可能是windows版本的问题,也可能是mod_ajp和tomcat存在缺陷。总之,花了一天的时间,也没研究出成果。google上面类似的问题挺多,可惜都没答案。我会开启tomcat的log再仔细研究到底发生了什么。

根据以往老版本,大部分使用mod_jk+ajp的方式行的通,有时间的同学可以尝试mod_jk.

mod_ajp+ajp的方式只是卡在了FBA上,其它的任何资源访问,都没问题,为了让FBA工作起来,不得已,我将balancer修改成了http模式。

<Proxy balancer://mycluster>
      BalancerMember http://127.0.0.1:8080 loadfactor=1 route=node1
      BalancerMember http://127.0.0.1:8081 loadfactor=1 route=node2
	  ProxySet stickysession=JSESSIONID
	  ProxySet lbmethod=byrequests
   </Proxy>

此外,还有一个陷阱。tomcat在做完j_security_check以后,会重定向到http,无论之前是https. 当然我们可以通过配置server.xml和web.xml使其重定向到Https,但一般不推荐这样做,因为这很可能导致循环重定向。

一般的做法是在web中添加一个filter,专门负责http和https的切换。又或者在apache中配置重定向。在http-vhosts.conf中添加:

<VirtualHost *:80>
   ServerAdmin joey
   ServerName www.test0.com
   ErrorLog "logs/errlog"
   CustomLog "logs/accesslog" common
   RewriteEngine on
   RewriteRule ^/?sessiontest/(.*) https://%{SERVER_NAME}/sessiontest/$1 [R,L]
</VirtualHost>

到此,网站可以在FBA的模式下正常运行了。

FBA的缺陷

在J2EE的规范中,FBA存在着很大的缺陷。列举如下:

  1. login的过程无法被干预。我们无法通过添加filter的形式进行干预。login完全交给web容器处理,页面也是有web容器负责展示。

  2. 没有login地址,用户无法bookmark一个Login页面。直接访问login.html是无法提交form的。login只能在访问受保护资源的时候才会被触发。

很不幸的是,tomcat完全遵循了J2EE关于FBA的规范,这使得FBA很不实用。 WebSphere Application Server则对规范进行了变通,使得以上2个缺陷都被除去了。 Jboss, Glassfish和weblogic则不是很清楚,需要了解的同学可以去查看其文档。

Tomcat build-in SSO

Tomcat本身集成SSO(Single Sign On)解决方案。如果一个tomcat上,部署了多个应用,这时候可以使用tomcat自身的SSO解决方案。如果系统跨JVM甚至跨平台,则需要一套复杂的SSO解决方案。复杂的SSO解决方案需要自己开发,或者使用第三方框架,如CAS, OPENSSO等。

这次的实验,仅仅关注tomcat自带的SSO方案。首先需要说明,tomcat自带的SSO的必要前提是:

  1. 必须是Tomcat自带的认证方式:BA, FBA, Degist,client-cert

  2. 必须是在同一个tomcat vhost下。

  3. 同一个JVM中。

  4. 所有的应用必须使用同一个domain。

  5. 需要cookie支持。cookie中会被插入JSESSIONIDSSO

  6. 所有应用必须使用形同的realm。

接下来,我将重新复制一份新的tomcat, 取名tomcat3. 在tomcat3\webApps下面,tomcat自带一个web应用,叫做examples,其下/examples/jsp/security/protected/index.jsp是受FBA保护的。

修改server.xml,添加realm

<Realm className="org.apache.catalina.realm.UserDatabaseRealm"
               resourceName="UserDatabase"/>-->
			   <Realm   className="org.apache.catalina.realm.JNDIRealm"
    connectionName="cn=admin,dc=mycompany,dc=com"
    connectionPassword="admin"
     connectionURL="ldap://localhost:389"
      userPassword="userPassword"
       userPattern="uid={0},ou=people,dc=mycompany,dc=com"
          roleBase="ou=groups,dc=mycompany,dc=com"
          roleName="cn"
        roleSearch="(uniqueMember={0})"
/>

继续修改server.xml, 打来host下面的SSO配置:

<Valve className="org.apache.catalina.authenticator.SingleSignOn" />

然后修改examples下面的web.xml, 将受保护的资源的允许访问角色修改成:

<auth-constraint>
    <role-name>red</role-name>
</auth-constraint>

这样,tomcat3下面就有一个使用OpenLDAP认证的应用examples了。接下来,我将examples复制一份,取名叫examples2,放在相同目录下。现在tomcat3下面存在两个应用examples和examples2,它们使用同一个realm认证。

启动tomcat3, 访问http://localhost:8080/examples/jsp/security/protected/index.jsp和http://localhost:8080/examples2/jsp/security/protected/index.jsp, 发现只需要登录其中一个,另一个不再需要登录。

接下来Spring Security 3

由于FBA的缺陷,我们需要自己制作login机制。实际上很多互联网网站都是自己的login机制。我将借助第三方认证工具,比如SecurityFilter或Spring来重新制作login。进阶-使用Spring Security3.2搭建LDAP认证授权和Remember-me(1) 


共有 人打赏支持
粉丝 298
博文 97
码字总数 125336
评论 (9)
酒瓶不倒
如果tomcat 能通过krb 加强认证就更好了
youxiang

引用来自“酒瓶不倒”的评论

如果tomcat 能通过krb 加强认证就更好了

s
xpbug

引用来自“酒瓶不倒”的评论

如果tomcat 能通过krb 加强认证就更好了

后面的文章可能会使用krb。
xpbug

引用来自“youxiang”的评论

引用来自“酒瓶不倒”的评论

如果tomcat 能通过krb 加强认证就更好了

s

后面的文章可能会使用krb。也可能用CAS
东胜神洲
支持!。。撒花。。
沫小依
好文章,我今天照着做了一遍,学会了,感谢楼主分享!
苗哥
文件 slapd.conf 和 my.ldif 是存在于OpenLDAP这個软件的安装目录下面?能把文件的路径也贴出来麽?
xpbug

引用来自“苗哥”的评论

文件 slapd.conf 和 my.ldif 是存在于OpenLDAP这個软件的安装目录下面?能把文件的路径也贴出来麽?

slapd.conf在安装目录下。 路径 C:\OpenLDAP\slapd.conf. my.ldif是我自己创建的,可以放在任何地方。运行命令的时候指定好路径就行。
黄勇
收藏,赞了!感谢博主的分享,让我学到了很多!
×
xpbug
如果觉得我的文章对您有用,请随意打赏。您的支持将鼓励我继续创作!
* 金额(元)
¥1 ¥5 ¥10 ¥20 其他金额
打赏人
留言
* 支付类型
微信扫码支付
打赏金额:
已支付成功
打赏金额: