Shibboleth认证场景下，如何在Play Framework控制器访问Apache环境变量？

嘿，很高兴你转向更安全的Apache环境变量方案集成Shibboleth——这确实是更稳妥的选择，能规避请求头伪造的风险。

在Play Framework里，你完全可以获取到底层的HttpServletRequest对象，然后用和传统Servlet一模一样的方式调用getAttribute()方法来获取Shibboleth属性。下面分Java和Scala版本给你具体实现：

Java版本示例 #

import play.mvc.Http;
import play.mvc.Result;
import javax.servlet.http.HttpServletRequest;

public class AuthController extends Controller {
    public Result protectedAction() {
        // 获取原生的HttpServletRequest实例
        HttpServletRequest servletRequest = Http.Context.current().request().underlying();
        
        // 读取Shibboleth属性，替换成你的实际属性名
        String shibUserId = (String) servletRequest.getAttribute("SOME_SHIBBOLETH_ATTRIBUTE");
        
        // 在这里处理业务逻辑，比如验证属性、获取用户信息等
        if (shibUserId == null) {
            return unauthorized("未通过Shibboleth认证");
        }
        
        return ok("当前认证用户ID: " + shibUserId);
    }
}

Scala版本示例 #

import play.api.mvc._
import javax.servlet.http.HttpServletRequest
import javax.inject.Inject

class AuthController @Inject()(cc: ControllerComponents) extends AbstractController(cc) {
  def protectedAction = Action { request =>
    // 转换为底层的HttpServletRequest
    val servletRequest = request.asInstanceOf[play.mvc.Http.RequestHeader].underlying().asInstanceOf[HttpServletRequest]
    
    // 获取Shibboleth属性
    val shibUserId = Option(servletRequest.getAttribute("SOME_SHIBBOLETH_ATTRIBUTE").asInstanceOf[String])
    
    shibUserId match {
      case Some(userId) => Ok(s"当前认证用户ID: $userId")
      case None => Unauthorized("未通过Shibboleth认证")
    }
  }
}

关键注意事项 #

• 确保Apache配置中已经正确将Shibboleth属性传递为Servlet请求属性，而非仅设置为请求头。通常Shibboleth的ShibRequestSetting指令可以帮你完成这个映射。
• 这种方式比头部注入更安全：Servlet请求属性是服务器端内部传递的，不会被客户端篡改，完全符合文档中避免头部注入的建议。
• 不同Play Framework版本的API可能有细微差异，如果是较新版本（比如Play 3.x），可以检查官方文档确认底层request的获取方式，但核心逻辑都是拿到原生HttpServletRequest后调用getAttribute()。

内容的提问来源于stack exchange，提问作者A Lopes