旧 servlet 应用程序的 OIDC 过滤器

Question

我想拦截对旧版 Java servlet/JSP 应用程序的请求，并使用 OpenID Connect (OIDC) 协议对用户进行身份验证。

我已经看到了 Spring Security 和 SAML 的示例，其中 springSecurityFilterChain 在 XML 中显式配置并包装了现有的非 Spring servlet。但是我见过的大多数 Java OIDC 示例都是使用 Spring Boot 的，这对我来说不是一个选择。 （例如：https://developer.okta.com/blog/2017/12/18/spring-security-5-oidc）

您能否指出在 Java webapps 中使用 OIDC 客户端的任何非 Spring Boot 示例？

Answer 1

我发现pac4j 尤其是j2e-pac4j 和pac4j-oidc 的组合是将OIDC 插入普通旧servlet 应用程序的最简单方法。

j2e-pac4j 被实现为一个普通的 Java servlet 过滤器（实际上是两个，因为您需要一个回调处理程序），它插入到web.xml 以拦截请求。这些过滤器引用您提供的用于配置 OIDC 客户端的 Java 类。

Okta 的开发者博客有一个 article on using pac4j-oidc with Play framework，这对于 Java 来说似乎也是一种合理的方式，因为 Spring Security 感觉太复杂或难以在旧版应用程序中设置。