第 2 章 摘要登录模块

并非所有请求都以经过身份验证的格式收到。例如，unauthenticatedIdentity 登录模块配置将特定身份 guest 分配给在没有相关身份验证信息发出的请求。这可用于允许未受保护的 servlet 在不需要特定角色的 EJB 上调用方法。此类主体没有关联的角色，因此只能访问与未选中权限约束关联的不受保护的 EJB 或 EJB 方法。例如，可在 UsersRoles 和 Remoting Login Modules 中使用此配置选项

堆栈中可以串联多个登录模块，每一登录模块在身份验证期间提供凭据验证和角色分配。这适用于许多用例，但有时凭据验证和角色分配分散到多个用户管理存储中。

请考虑在中央 LDAP 服务器中管理用户，但应用特定角色存储在应用的关系数据库中的情况。password-stacking 模块选项捕获了这一关系。

要使用密码堆栈，每个登录模块都应将 password-stacking 属性设置为 useFirstPass，它位于 <module-option> 部分中。如果上一配置用于密码堆栈的模块对用户进行了身份验证，所有其他堆栈模块将考虑用户通过身份验证，并且仅尝试为授权步骤提供一组角色。

当 password-stacking 选项设为 useFirstPass 时，此模块首先在属性名 javax.security.auth.login.name 和 javax.security.auth.login.password 下分别在登录模块共享状态映射中查找共享用户名和密码。

如果找到，这些属性将用作主要名称和密码。如果没有找到，则主体名称和密码由此登录模块设置，并分别存储在属性名称 javax.security.auth.login.name 和 javax.security.auth.login.password 下。