整个认证流程是否成功的判定标准：
1、只有当所有的 Required 和 Requisite LoginModule 成功时，整个认证流程才成功。
2、如果配置了 Sufficient LoginModule 并且认证成功，在它之前所有的 Required 和 Requisite LoginModule 都成功，整个认证流程才算成功。
3、如果没有配置任何 Required 和 Requisite LoginModule，Sufficient 或 Optional LoginModule 至少成功一个，整个认证流程才算成功。

4、实际使用

简单演示下 JAAS 的功能，相关 Java 类文件及配置文件如下：

4.1、定义自己的 Principal

package com.abc.demo.general.jaas;

import java.security.Principal;
import java.util.Objects;

public class MyPrincipal implements Principal {
    private String name;

    public MyPrincipal(String name) {
        this.name = name;
    }

    @Override
    public String getName() {
        return name;
    }

    @Override
    public int hashCode() {
        return Objects.hashCode(name);
    }

    @Override
    public boolean equals(Object obj) {
        if (this == obj) {
            return true;
        }
        if (obj == null || this.getClass() != obj.getClass()) {
            return false;
        }
        MyPrincipal that = (MyPrincipal) obj;
        return Objects.equals(name, that.getName());
    }

    @Override
    public String toString() {
        return "MyPrincipal{" + "name='" + name + '\'' + '}';
    }
}

4.2、定义自己的 CallbackHandler

package com.abc.demo.general.jaas;

import javax.security.auth.callback.*;
import java.io.IOException;

public class MyCallbackHandler implements CallbackHandler {
    private String username;
    private String password;

    public MyCallbackHandler(String username, String password) {
        this.username = username;
        this.password = password;
    }

    @Override
    public void handle(Callback[] callbacks) throws IOException, UnsupportedCallbackException {
        for (Callback callback : callbacks) {
            if (callback instanceof NameCallback) {
                NameCallback nameCallback = (NameCallback) callback;
                nameCallback.setName(username);
            } else if (callback instanceof PasswordCallback) {
                PasswordCallback passwordCallback = (PasswordCallback) callback;
                passwordCallback.setPassword(password.toCharArray());
            } else {
                throw(new UnsupportedCallbackException(callback, "Callback class not supported"));
            }
        }
    }
}

4.3、定义自己的 LoginModule

package com.abc.demo.general.jaas;

import javax.security.auth.Subject;
import javax.security.auth.callback.*;
import javax.security.auth.login.LoginException;
import javax.security.auth.spi.LoginModule;
import java.io.IOException;
import java.security.Principal;
import java.util.Map;

public class MyLoginModule implements LoginModule {
    private Subject subject;
    private CallbackHandler callbackHandler;

    private Principal principal;

    @Override
    public void initialize(Subject subject, CallbackHandler callbackHandler, Map<String, ?> sharedState, Map<String, ?> options) {
        this.subject = subject;
        this.callbackHandler = callbackHandler;
    }

    /**
     * 登录
     */
    @Override
    public boolean login() throws LoginException {
        try {
            NameCallback nameCallback = new NameCallback("user: ");
            PasswordCallback passwordCallback = new PasswordCallback("password: ", true);
            Callback[] callbacks = new Callback[] { nameCallback, passwordCallback};
            callbackHandler.handle(callbacks);
            String username = nameCallback.getName();
            String password = new String(passwordCallback.getPassword());

            return login(username, password);
        } catch (IOException e) {
            e.printStackTrace();
        } catch (UnsupportedCallbackException e) {
            e.printStackTrace();
        }
        return false;
    }

    private boolean login(String username, String password) {
        System.out.println("username=" + username + ",password=" + password);
        //实际使用中应查数据库验证用户名密码
        if ("abc".equals(username) && "123456".equals(password)) {
            principal = new MyPrincipal(username);
            subject.getPrincipals().add(principal);
            return true;
        }
        return false;
    }

    /**
     * 登录成功后的操作
     */
    @Override
    public boolean commit() throws LoginException {
        return true;
    }

    //中断登录
    @Override
    public boolean abort() throws LoginException {
        return logout();
    }

    @Override
    public boolean logout() throws LoginException {
        if (subject != null && principal != null) {
            subject.getPrincipals().remove(principal);
        }
        return true;
    }
}

4.4、编写认证配置文件(jaas.conf)

MyLogin {
    com.abc.demo.general.jaas.MyLoginModule required;
};

4.5、认证测试

 1 package com.abc.demo.general.jaas;
 2 
 3 import javax.security.auth.Subject;
 4 import javax.security.auth.login.LoginContext;
 5 import javax.security.auth.login.LoginException;
 6 import java.security.PrivilegedAction;
 7 
 8 public class JaasTest {
 9     public static void main(String[] args) throws LoginException {
10         String jaasConf = JaasTest.class.getResource("jaas.conf").getFile();
11         System.setProperty("java.security.auth.login.config", jaasConf);
12 
13         MyCallbackHandler myCallbackHandler = new MyCallbackHandler("abc", "123456");
14         //使用 MyLogin 这个 entry 进行认证
15         LoginContext loginContext = new LoginContext("MyLogin", myCallbackHandler);
16         loginContext.login();
17 
18         Subject subject = loginContext.getSubject();
19         Subject.doAsPrivileged(subject, new PrivilegedAction<Object>() {
20                 @Override
21                 public Object run() {
22                     System.setProperty("demo", "demo value");
23                     System.out.println(System.getProperty("demo"));
24                     return null;
25                 }
26             }, null
27         );
28         loginContext.logout();
29     }
30 }

4.6、授权测试

4.6.1、开启 SecurityManager

默认 Java 没有开启 SecurityManager，程序拥有所有的权限。开启 SecurityManager 的方法是添加 VM 参数：

-Djava.security.manager

开启 SecurityManager 后，访问系统环境变量，访问文件等操作都会被阻止；这是因为安全管理器默认情况下不允许这些操作，我们需要配置 policy 文件，定义需要的权限。

4.6.2、编写 policy 文件(my.policy)

//为任何主体赋权
grant {
    //读取d盘各级目录所有文件的权限
    permission java.io.FilePermission "d:/-", "read";

    //读取/设置环境变量的权限
    permission java.util.PropertyPermission "os.name", "read";
    permission java.util.PropertyPermission "java.security.auth.login.config", "write";

    //加载动态库的权限
    permission java.lang.RuntimePermission "loadLibrary.*";

    //创建LoginContext的权限
    permission javax.security.auth.AuthPermission "createLoginContext";
    //login的时候需要将新建的principal加入subject
    permission javax.security.auth.AuthPermission "modifyPrincipals";
    //执行特权代码的权限
    permission javax.security.auth.AuthPermission "doAsPrivileged";
};

//为name为abc的com.abc.demo.general.jaas.MyPrincipal赋权
grant principal com.abc.demo.general.jaas.MyPrincipal "abc" {
    //系统变量demo的读写权限
    permission java.util.PropertyPermission "demo", "read, write";
};

同样使用 VM 参数方式指定 policy 文件：

-Djava.security.policy=D:\xx\xx\my.policy

4.6.3、结合认证与授权

认证成功后可以获得 Subject，可以指定以该 Subject 的身份来执行相应的代码，通过 Subject.doAsPrivileged() 设置：

Subject.doAsPrivileged(subject, new PrivilegedAction<Object>() {
        @Override
        public Object run() {
            System.setProperty("demo", "demo value");
            System.out.println(System.getProperty("demo"));
            return null;
        }
    }, null
);

应用程序会获取 policy 中配置的该 subject 的所有权限，然后判断是否能执行这些代码；如果没有对应的权限就会报错。

添加如下的 VM 参数，重新运行 4.5 的测试程序：

-Djava.security.manager -Djava.security.policy=D:\workspaceidea\demo\demo\src\main\java\com\abc\demo\general\jaas\my.policy

程序可以正常运行，如果修改 22 行代码中系统属性的名称：

System.setProperty("demo2", "demo value");

则程序就会报错。