如果我的应用服务器通过spnego验证访问,那么我的应用程序代码对用户了解多少?

来自@gas的评论

Spnego与此事无关。你可以正常登录,效果也一样。从用户注册表读取用户组(很可能是AD)。要限制操作,可以在应用程序中创建安全角色,将角色映射到组,然后通过isuserinrole('abc')签入应用程序。这是非常简短的总结。查找JavaEE认证/授权文章。

因此,应用程序不需要知道要授权的用户的姓名。您需要访问经过身份验证的用户的用户名,可以使用request.getremoteuser()方法。请参阅此处的详细信息 https://docs.oracle.com/javaee/6/api/javax/servlet/http/HttpServletRequest.html#getRemoteUser()