基于表单的身份验证 WAS 8.5答案

【问题标题】：Form-Based Authentication WAS 8.5基于表单的身份验证 WAS 8.5
【发布时间】：2013-11-11 09:02:22
【问题描述】：

我正在尝试在 IBM WebSphere WAS v8.5 上实现基于表单的身份验证，但由于某些原因，安全配置被忽略，我可以访问所有保护资源而无需重定向到登录页面下面是我的声明性安全配置

<?xml version="1.0" encoding="UTF-8"?>
<web-app id="WebApp_ID" version="3.0" xmlns="http://java.sun.com/xml/ns/javaee"      xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance" xsi:schemaLocation="http://java.sun.com/xml/ns/javaee http://java.sun.com/xml/ns/javaee/web-app_3_0.xsd">
<display-name>TestSSO</display-name>
<welcome-file-list>
    <welcome-file>index.html</welcome-file>
    <welcome-file>index.htm</welcome-file>
    <welcome-file>index.jsp</welcome-file>
    <welcome-file>default.html</welcome-file>
    <welcome-file>default.htm</welcome-file>
    <welcome-file>default.jsp</welcome-file>
</welcome-file-list>
 <security-role>
    <role-name>manager</role-name>
</security-role>
<security-constraint>
    <web-resource-collection>
        <web-resource-name>management pages</web-resource-name>
        <url-pattern>/index.html</url-pattern>
    </web-resource-collection>
    <auth-constraint>
        <role-name>manager</role-name>
    </auth-constraint>
</security-constraint>

<login-config>
    <auth-method>FORM</auth-method>
    <form-login-config>
        <form-login-page>/login.html</form-login-page>
        <form-error-page>/error.html</form-error-page>
    </form-login-config>
</login-config>

<?xml version="1.0" encoding="UTF-8"?>
<application-bnd xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance"   xmlns="http://websphere.ibm.com/xml/ns/javaee"
xsi:schemaLocation="http://websphere.ibm.com/xml/ns/javaee  http://websphere.ibm.com/xml/ns/javaee/ibm-application-bnd_1_0.xsd" version="1.0">
     <security-role name="manager">
     <special-subject type="ALL_AUTHENTICATED_USERS" />
     </security-role>

</application-bnd>

【问题讨论】：

服务器是否启用了安全性？
在下面看到您的 cmets，这可能意味着您已经通过了身份验证。一个简单的测试是实际写出用户名或类似的东西。这样你就知道你是否通过了身份验证。
我尝试使用 chrome 而不是 IE 进行访问，它给了我登录页面，我登录了，一切正常，但我关闭了浏览器重新测试，同样的第一个问题安全被忽略了，我无需身份验证即可访问受保护的资源
您可能已经通过操作系统配置了身份验证，该操作系统会在您不知情的情况下自动登录。如果您运行的是 Windows 和 IE，您可能会自动登录（在 WAS 中配置正确），但在 Chrome 中，默认情况下可能未配置。这可以解释您所描述的行为。
谢谢丹尼尔，但我怎么知道是否是这种情况（通过操作系统进行身份验证，在你不知情的情况下自动登录），因为如果我重新启动电脑并尝试登录页面只是第一次，然后我又回到了同样的情况“安全被忽略”

标签： authentication websphere

【解决方案1】：

您只定义了一个受保护的资源，即/index.html。调整 <url-pattern> 以包含您需要保护的所有资源。

【讨论】：

【解决方案2】：

您必须使用 WebSphere 控制台进行角色映射。是将用户存储库中的用户组映射到

【讨论】：

【解决方案3】：

这应该是您的ibm-application-bnd.xml 文件

<?xml version="1.0" encoding="UTF-8"?>
<application-bnd xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance"   xmlns="http://websphere.ibm.com/xml/ns/javaee"
xsi:schemaLocation="http://websphere.ibm.com/xml/ns/javaee  http://websphere.ibm.com/xml/ns/javaee/ibm-application-bnd_1_0.xsd" version="1.0">
     <security-role name="manager">
        <group name="manager" />
     </security-role>

</application-bnd>

【讨论】：

只有当有一个名为 manager 的安全组时才有效。在这种情况下，角色和应该属于该角色的用户之间已经存在映射。
我这样做了，现在它给了我 HTTP 403 禁止而不是将我重定向到登录页面
是的，如果用户经过身份验证但无权访问资源，则会显示 403 禁止。仅当用户未通过身份验证时，它才会重定向到登录页面。所以你可以在 403 页面上添加自我重定向。
但我没有输入任何凭据，它怎么知道我通过了身份验证？我需要在请求受保护的资源时将用户重定向到登录页面
您是否为其他服务器配置了 SSO？