JAAS 實戰：構建靈活可插拔的 Java 認證授權體系

JAAS 核心架構

Java Authentication and Authorization Service (JAAS) 採用可插拔認證模組 (PAM) 風格架構，通過配置文件動態綁定實現應用代碼與具體認證機制（LDAP、數據庫、Kerberos、NT、Unix 等）解耦。

核心類職責

認證流程詳解

1. 應用創建 LoginContext("appName")，指定配置文件中的應用名
2. LoginContext 讀取配置，實例化對應的 LoginModule 數組
3. 調用 login() 觸發兩階段認證：
   • Phase 1：各 Module login() 收集/驗證憑證，返回 true/false
   • Phase 2：若整體成功，調用各 Module commit() 填充 Subject；否則調用 abort() 清理
4. 認證成功後，獲取 Subject 執行特權操作：Subject.doAs(subject, action)

配置文件語法

MyApp {
    com.example.RdbmsLoginModule required
        driver="com.mysql.jdbc.Driver"
        url="jdbc:mysql://localhost/authdb"
        debug="true";
    com.sun.security.auth.module.NTLoginModule sufficient;
};

Flag 含義：

• required：必須成功，繼續執行後續 Module
• requisite：必須成功，失敗則立即終止認證
• sufficient：成功則整體成功（若無前置 required 失敗），失敗繼續
• optional：成功與否不影響整體結果

自定義 LoginModule 實戰：數據庫認證

關鍵方法實現

public class RdbmsLoginModule implements LoginModule {
    public void initialize(Subject subject, CallbackHandler handler,
                           Map sharedState, Map options) {
        // 保存參數，讀取 options 中的 url、driver 等
    }

    public boolean login() throws LoginException {
        // 1. 創建 NameCallback、PasswordCallback
        // 2. callbackHandler.handle(callbacks) 獲取用戶輸入
        // 3. JDBC 驗證用戶名/密碼
        // 4. 設置 success 標誌
        return true;
    }

    public boolean commit() {
        if (success) {
            subject.getPrincipals().add(new UserPrincipal(username));
            subject.getPrivateCredentials().add(password);
        }
        return success;
    }
    // abort() 清理，logout() 移除憑證
}

客戶端 vs 服務端適配

命令行客戶端

使用 ConsoleCallbackHandler 從標準輸入讀取：

LoginContext lc = new LoginContext("MyApp", new ConsoleCallbackHandler());
lc.login();

Web 應用（JSP/Servlet）

無法使用控制台交互，需實現被動式 CallbackHandler，從 Request 參數獲取憑證：

public class PassiveCallbackHandler implements CallbackHandler {
    private final String username, password;
    public PassiveCallbackHandler(String u, String p) { ... }
    public void handle(Callback[] callbacks) {
        for (Callback cb : callbacks) {
            if (cb instanceof NameCallback) ((NameCallback)cb).setName(username);
            else if (cb instanceof PasswordCallback) ((PasswordCallback)cb).setPassword(password.toCharArray());
        }
    }
}

容器配置（以 Resin 為例）：

<system-property
  java.security.auth.login.config="/resin/conf/jaas.config"/>

進階特性

• 堆疊認證：多 Module 串聯，實現多因子認證
• 共享狀態：sharedState Map 在 Module 間傳遞數據
• 授權整合：結合 Policy、Permission 實現基於角色的訪問控制 (RBAC)

避坑指南

1. J2EE 容器（WebLogic、JBoss）對 JAAS 整合各有差異，需查閱容器文檔
2. 服務端請勿在登錄前預置 Subject 憑證，違背 JAAS 設計初衷
3. CallbackHandler 僅用於客戶端交互，服務端請用被動式實現
4. 生產環境務必啟用 TLS 保護傳輸中的憑證