WAS 8.0 Federated Repo & Servlet Spec 3.0 密码摘要的安全认证答案

【问题标题】：WAS 8.0 Federated Repo & Servlet Spec 3.0 Security authentication of password digestWAS 8.0 Federated Repo & Servlet Spec 3.0 密码摘要的安全认证
【发布时间】：2013-05-10 23:29:05
【问题描述】：

我正在为网站开发注册确认功能。用户在注册页面上注册成功，随后会通过超链接向用户的电子邮件地址发送一封电子邮件，然后用户单击该链接并被定向到注册完成页面。

我想通过 request.login(username, password) 方法实现 Servlet Spec 3.0 的编程安全性。唯一的问题是用户的 Base64 编码密码摘要使用单向散列算法存储在数据库中。当密码参数是 Base64 编码的字符串时，request.login(username, password) 失败。我需要将 Base64 编码的字符串传递给我的联合存储库，以便它可以将该编码的密码摘要与其在 JDBC 自定义用户注册表中的匹配副本进行比较。

我在 WAS v8.0 文档中搜索了有关接受散列密码的任何提及。我只在联合存储库中找到与 LDAP 存储库有关的条目……而不是在联合存储库中找到 JDBC 自定义用户注册表。我读到您可以将 Tomcat 和 GlassFish 配置为接受域的散列密码，我希望您可以对 WAS 8.0 执行相同的操作。如果没有……

即使我在 .war 的部署描述符中定义了<auth-method>FORM</auth-method>，是否有办法以编程方式为 1 种方法实现 DIGEST 身份验证？

【问题讨论】：

标签： jakarta-ee websphere security java-ee-6 websphere-8

【解决方案1】：

我放弃了使用 WAS 8 的联合存储库，转而使用 Apache Shiro。与 WAS 8 中所需的大量深奥配置相比，配置 shiro.ini 是一种更加理智、灵活的解决方案。此外，Shiro 将权力交还给我，而不是要求管理员为我配置安全性。

【讨论】：