Java/Tomcat Web应用中CAC/PIV卡认证的标准实现方案

需求背景 #

我们的Web应用基于Java + Tomcat9/10开发，需支持两种差异化登录方式：

• 账号密码+TOTP（已完成开发）
• 账号密码+CAC/PIV（按用户角色分配启用）
  现有调研资料多为5-10年前的内容，亟需符合当前行业标准的可落地实现路径。

已探索的实现思路 #

• 服务器配置方向：尝试配置Tomcat的clientAuth参数，提出网关应用方案并完成server.xml的相关配置
• 开源库评估：对OpenSC、web-smart-card、PKCS#11、javax.smartcardio等开源工具及规范进行了可行性评估
• 客户端证书获取：尝试通过HTTPS链路获取客户端提交的X509Certificate
• 直接卡通信：通过Smart Card IO读取卡片ATR信息，但APDU命令无统一标准，部署后存在设备识别兼容性问题
• PKCS#11替代方案：评估了Bouncy Castle、IAIK PKCS#11等Sun PKCS#11的替代实现方案

当前进展与待解决问题 #

目前已实现智能卡证书的读取功能，但PIN验证环节尚未完成。经过多方向对比，团队认为服务器配置方向是最优的落地路径。

内容的提问来源于stack exchange，提问作者Izek H