Mam aplikację z kilkoma plikami wojennymi rozmieszczonymi na tym samym serwerze tomcat. Muszę wymusić uwierzytelnienie klienta tylko dla jednego kontekstu wojennego i tylko dla konkretnego adresu URL.

Czytałem dużo na temat Internetu i podobnych pytań tutaj, ale wnioski, które doszedłem, nie pasują do rozwiązania, którego potrzebuję:

zdefiniuj 2 złącza z różnymi portami (jeden z włączoną funkcją ClientAuth i jeden bez) i uzyskaj dostęp do konkretnego adresu URL za pomocą odpowiedniego portu ==> to rozwiązanie nie jest dobre, ponieważ jeśli haker próbuje uzyskać dostęp do tego adresu URL z innym portem, może osiągnąć sukceszdefiniuj gwarancję transportu w web.xml (na przykładWłączanie wzajemnego SSL na usługę w Tomcat) ==> nie jest to również dobre, ponieważ nie chcę definiować użytkowników w jakiejś dziedzinie, chcę tylko, aby serwer poprosił o certyfikat klienta i zweryfikował, że jest zaufany i ważny.

Czy istnieje sposób użycia opcji 2 bez definiowania użytkowników? A może trzecia opcja?

Z góry dziękuję!