我们的Web应用程序基于弹簧安全性.我们已通过SSO提供商(CAS)处理身份验证

我们正在努力为我们的应用程序(角色和前提)找到一个方便的处理授权解决方案.

我读到了XACML;但是,找不到在Spring-security框架中实现和集成它的任何实践经验/示例.

任何人都有这方面的经验吗？

谢谢,
射线.

解决方法:

Asela所说的大多数基于XACML的授权服务器都是如此.

您可以选择开源：

> WSO2(Asela’s)为您提供的不仅仅是XACML BTW – 它首先是一个中介平台
> ForgeRock的OpenAM
> JBoss的PicketBox.
> HerasAF

有些实现XACML 2.0,有些实现XACML 3.0

在供应商领域,您有：

> IBM(XACML 2.0)
> Oracle(专有)
>戴尔(XACML 3.0,基于.NET)
> Axiomatics(XACML 3.0 ,. NET和Java)

免责声明：我为后者Axiomatics工作.我们已经测试了一个过去实现Spring Security Access Decision的样本PEP,它运行正常.根据XACML的REST配置文件,我们的PDP既可以作为SOAP Web服务公开,也可以通过REST公开.

您是否希望Spring Access Decision Manager实施XACML PEP？你想使用选民吗？您需要支持义务和建议吗？

您也可以使用Axiomatics也提供的AOP PEP.我们将在周四举行关于此主题的网络研讨会.详情here.