在验证之前检查Spring-Security中的X509证书吊销状态

Question

是否可以在验证之前通过spring-security中的CRL检查x509客户机证书的吊销状态？我已经检查过文档（http://static.springsource.org/spring-security/site/docs/3.0.x/reference/x509.html），但没有提到有关CRL的任何信息。

实现UserService只给你用户名而不是X509Certificate。任何帮助，将不胜感激！

谢谢！

Answer 1

我不确定Spring-Security的具体情况，但是如果它基于JRE的信任管理者（如果它是Oracle/Sun JRE），则可以通过将这些系统属性设置为true来激活CRL检查：com.sun.net.ssl.checkRevocation和com.sun.security.enableCRLDP，并设置Security.setProperty("ocsp.enable", "true")（感谢@WillSargent指出这是一个Security属性，而不是一个系统）。

更多细节在这里：

• http://docs.oracle.com/javase/6/docs/technotes/guides/security/jsse/JSSERefGuide.html#CERTPATH
• http://docs.oracle.com/javase/6/docs/technotes/guides/security/certpath/CertPathProgGuide.html#AppC
• http://blogs.oracle.com/xuelei/entry/enable_ocsp_checking

Answer 2

的SSL握手由servlet容器中进行，而不是春季安全，因此任何CRL检查或许应该发生在那一点。 Spring Security将其视为“预认证”场景。

Spring Security只读取（已经是SSL认证的）证书，并允许您将其链接到本地​​用户帐户。