使用 HTML5 + jQuery 前端和 REST 后端进行客户端证书身份验证

Question

我们有一个 HTML5 + jQuery 网站，部署在 Apache Http 上。简而言之，显示的数据是通过在后端调用 REST 服务获得的，部署在 Apache Tomcat 上。用户使用这些服务的用户/密码对自己进行身份验证，并获取一个授权令牌，该令牌存储为 cookie，以便在进一步调用中使用它。

我试图弄清楚如何在这种情况下集成客户端证书身份验证 (X509)，作为除了用户/密码之外的附加身份验证方法。

我的想法是将浏览器重定向到一些启用了 ssl 的 servlet，请求并读取客户端证书信息，对其进行身份验证，然后通过已建立的会话（一种授权客户端调用后端服务的令牌）重定向回网站通过网站）。我不确定如何以某种方式保持这两种不同组件和技术之间的用户会话（如果可能的话）。

非常感谢任何提示、指导、参考、不同的方法。

Answer 1

简而言之，显示的数据是通过调用 REST 服务在 后端，部署在 Apache Tomcat 上。用户通过以下方式验证自己 这些服务的用户/密码，并获取授权令牌， 存储为 cookie，以便在进一步调用中使用它。

这违反了stateless constraint，所以它不是REST。您必须在客户端维护会话，并在每个（加密的 HTTPS）请求中发送用户名和密码。