类加载器命令 PARENT_LAST 时忽略 Websphere 7 基于表单的身份验证答案

【问题标题】：Websphere 7 form-based authentication ignored when classloader order PARENT_LAST类加载器命令 PARENT_LAST 时忽略 Websphere 7 基于表单的身份验证
【发布时间】：2011-09-23 03:54:25
【问题描述】：

我有一个非常简单的 web 应用程序，它将 spring 安全性与 j2ee 声明式安全性集成在一起。 web.xml 的重要部分如下所示：

<security-role>
    <role-name>ROLE_USER</role-name>
</security-role>
<security-role>
    <role-name>ROLE_SUPERVISOR</role-name>
</security-role>

<security-constraint>
    <web-resource-collection>
        <web-resource-name>All Resources</web-resource-name>
        <url-pattern>/*</url-pattern>
    </web-resource-collection>
    <auth-constraint>
        <role-name>ROLE_USER</role-name>
        <role-name>ROLE_SUPERVISOR</role-name>
    </auth-constraint>
</security-constraint>   

<login-config>
    <auth-method>FORM</auth-method>
    <form-login-config>
        <form-login-page>/login.html</form-login-page>
        <form-error-page>/accessdenied.html</form-error-page>
    </form-login-config>
</login-config>

这在 Tomcat 6.0.33 和 Glassfish 3.1.1 中完全符合预期。当我将同一个应用程序迁移到 Websphere 7.0.0.17 时，我注意到我必须颠倒类加载器的顺序，将其标记为 PARENT_LAST（因为 WAS 嵌入了一个非常旧的 commons-logging 版本，它破坏了 webapp）。

当我在 webapp 中请求资源时，我期望 WAS 重定向到表单登录页面的行为。

我看到的行为是 websphere 不是通过显示登录表单来保护受保护的资源，而是直接从应用程序内部进入 spring security 提供的“拒绝访问”。

我也试过用 BASIC 代替 FORM 作为 auth-method，结果是一样的。

关于我可能做错了什么有什么想法吗？

编辑：禁用 Spring Security 会导致声明式安全性按预期工作。这种导致的结论是，如果我希望内置的 LoginFilter 首先触发，我必须在我的 web.xml 中明确声明它——给我一个对 WAS 的依赖：O(

编辑：我还发现 WAS 会在应用声明性安全性之前触发应用中声明的过滤器；无论类加载器顺序如何，都会以这种方式发生。

注意事项：我启用了管理安全性，并正确映射了用户角色等。我使用 websphere 附带的“DefaultApp”验证了这一点，“snoop”servlet 受到保护，并且挑战似乎在该应用程序中正常工作。

【问题讨论】：

标签： java jakarta-ee websphere

【解决方案1】：

既然你说 webapp 真的很简单，我会朝着另一个方向前进：从你的依赖项中消除公共日志记录并依赖 WAS 中的那个。 JCL 很难从 Websphere 中根除（例如，请参阅我试图帮助解决的其他此类问题：Explanation of class loading in an EAR for non-requested but dependent class）。流行的提示是切换到 PARENT_LAST，但相当多的人报告说这对他们不起作用。

检查你的依赖关系，看看 JCL 依赖什么；如果您使用“nodep”罐子（包含所有依赖项的自包含），请将它们更改为单个罐子。 Maven是这方面的好帮手，如果你不使用它，那就是手工工作。

【讨论】：