Authentication : re-connexion en cas d'erreur de mot de passe

**polcus** · 29/08/2007, 18h01

Bonjour,

voilà le topo :

j'ai une application client swing déployée sur un serveur java Glassfish. Je laisse l'ACC gérer le logincontext (donc je n'utilise pas les méthodes login et logout), et j'ai spécifié mon propre Callback Handler dans le xml de l'application client.

J'ai laissé le Realm par défaut et le loginmodule par défaut (FileRealm et FileLoginModule)

Enfin, les EJB sont sécurisés.

L'application client initie un context (via InitialContext sans paramètres), et je procède à un lookup de mon EJB sécurisé => là, le callback handler demande l'utilisateur et le mot de passe. Et arrive mon problème :

si l'utilisateur est incorrect, une Exception est lancée, mais si je procède de nouveau à un lookup, le callback handler ne demande plus d'utilisateur/mot de passe et il est donc impossible de se ré-identifier correctement sans sortir puis relancer l'application.

Comment faire pour "annuler" l'utilisateur/mot de passe. Ou bien "déconnecter" l'utilisateur ? Ou bien ce n'est pas la bonne méthode, dans ce cas coment faire au niveau de glassfish ?

Je pensais que le Subject n'était pas créé tant que le login n'était pas OK.

Merci d'avance pour votre aide,

Yann

**alexismp** · 05/09/2007, 13h06

J'ai peur que ce soit le comportement par défaut. Pas terrible.
Je vérifie et je logue un bug/rfe si nécessaire.

**alexismp** · 05/09/2007, 15h37

Peux-tu essayer d'intercepter l'exception liée à l'erreur d'authentification et faire un appel explicite à ProgrammaticLogin.logout() qui lui même appelle LoginContextDriver.doClientLogout()?

**polcus** · 05/09/2007, 15h57

Merci de ta réponse rapide !

Je récupère déjà l'erreur en cas d'utilisateur/mot de passe incorrect, pour le moment j'affiche un message.

Je suis certain que via la classe programmaticLogin cela fonctionnerait comme tu me le décris, mais j'aimerais éviter d'utiliser explicitement ces methodes pour gérer l'utilisateur.

Pour en revenir à ton premier message, je pense aussi qu'il s'agit du comportement voulu, mais dans ce cas comment valider à nouveau un utilisateur en respectant le standard défini ?

Pour le moment, je ne vois pas de solution. Peut-être je ne procède pas de manière correcte pour utiliser des ressources protégées sur des EJB ?

Merci encore,

Yann