26、保障 JBoss AS 应用安全

保障 JBoss AS 应用安全

1. 安全策略选择

在某些场景下，如果不打算直接将 EJB 层暴露给客户端，那么通常仅在 HTTP 层应用安全措施就足够了，因为这是不可信实体唯一可访问的点。反之，如果中间层可能直接对客户端可用，那么也需要在该层应用安全措施。下面我们先为 AppStore 网络层创建访问控制列表，随后分析如何保障 EJB 访问安全。

2. HTTP 角色认证

• 服务器配置
  • 假设公司安全策略要求将用户凭证存储在关系型数据库中，可在 server\default\conf\login-config.xml 文件中添加以下模块：

<application-policy name="mysqlLogin">
    <authentication>
        <login-module
            code="org.jboss.security.auth.spi.DatabaseServerLoginModule"
            flag="required">
            <module-option name="dsJndiName">java:/MySqlDS
            </module-option>
            <module-option name="principalsQuery">