Spring-Security with X509？

Question

我对弹簧安全一般是新手,我有点困惑.

我试图将其与此集成的项目使用X509证书来识别用户登录应用程序.没有用户名或密码.我们验证证书是好的,并且他们已被授予访问我们的应用程序的权限.

问题是如何使用X509证书将spring集成到其中以获取其角色？

我看到了这个:

<http>
 ...
    <x509 subject-principal-regex="CN=(.*?)," user-service-ref="userService"/>
 ...
</http>

但我不明白这是如何工作的.它还需要密码吗？或者它是否需要它的主题？

Answer 1

但我不明白这是如何运作的。它还需要密码吗？或者这个主题就是它所需要的一切？

我认为这就是它所需要的。我认为该模型是 TLS 协议使用公钥加密技术确定用户/客户端“拥有”证书，该技术归结为用户/客户端知道证书的私钥。假设只有用户知道他自己的私钥，因此能够证明知道该密钥的人/任何东西就是用户。