我发现了一篇关于将Kerberos，JAAS和GSS-API集成在一起用于重型SSO系统的优秀白皮书（由Sun提供）。不幸的是，这篇文章是为Java 1.4编写的，已经有好几年了。
（1）我想知道：这是“triumverate”（Kerberos-JAAS-GSS，或简称 KJG ）（从J6开始，即将推出，J7） Java EE应用程序的主要SSO机制？如果没有，那么，您能简单解释一下它的架构吗？
我的应用程序还需要一些安全的Web服务。在阅读本文之前，我正在考虑使用SSL来保护传输，以及XWSS或（更可能）Apache的WSS4J框架进行身份验证/签名/加密：
（2） KJG （或您为上述问题1推荐的任何解决方案）是否能够提供安全的网络服务？例如，是否可以使用KJG代替WSS4J / SSL？
第二个问题是我试图看看我是否可以重复使用大量SSO代码来实现安全的Web服务。提前感谢任何输入或正确方向的推动。
答案 0 :(得分：0)
您是否考虑过SAML 2.0？
其规范包含Web SSO配置文件，并且在流行的J2EE身份产品（如OpenAM（以前称为OpenSSO））中受支持。我使用OpenASelect（使用OpenSAML）来实现Web SSO。