【发布时间】：2013-01-16 23:37:29
【问题描述】：
我有一个在 tomcat 应用程序服务器上运行的 Web 应用程序 (gwt)。此 Web 应用程序使用多个 Web 服务（登录、应用程序数据传输、查询等）。 tomcat上的web service客户端实现为apache axis2 web service客户端。
对于用户登录，我在 Web 应用程序中提供了一个带有用户名和密码的表单。此数据通过 Web 服务传输以验证用户身份。
计划将洞认证机制更改为基于客户端证书的认证。身份验证仍应在 Web 服务提供商端完成。 所以我的系统有三个相关的组件：web客户端、tomcat应用服务器和web服务提供者。
应用程序的每个用户都有自己的私有客户端证书（PKI 令牌，X.509-Auth-Cert）。当用户连接到 Web 应用程序时，会请求他的证书。
如何转发客户端证书以在 Web 服务中使用？ （tomcat不负责认证）。
1.) 有没有办法在身份验证错误发生之前拦截请求并提取客户端证书？ 我找到了一些关于 Servlet Filters 的信息，听起来确实不错，但我不确定在哪里实现它以在证书通过 tomcats 密钥库验证之前拦截它们。
2.)如果可以的话，客户端证书后如何传递给web服务？
感谢您的阅读
【问题讨论】：
标签： gwt tomcat servlet-filters webservice-client pki