web.xml中<security-constraint>安全认证标签说明

最新推荐文章于 2024-06-02 18:28:10 发布
最新推荐文章于 2024-06-02 18:28:10 发布
阅读量1.1k 收藏 5
点赞数 1
CC 4.0 BY-SA版权
分类专栏： java
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.youkuaiyun.com/hqmln/article/details/84722483
本文详细解释了在Web容器中如何使用security-constraint、login-config和security-role元素进行安全配置，包括如何设置安全约束、登录配置和安全角色，以及SSL配置示例。

摘要生成于 C知道 ，由 DeepSeek-R1 满血版支持， 前往体验 >

1.security-constraint元素

部署描述符中的<security-constraint>元素允许不通过编程就可以限制对某个资源的访问。

 

<security-constraint>
    <display-name>default</display-name>
    <web-resource-collection>
        <web-resource-name>all files</web-resource-name>
        <url-pattern>/*</url-pattern>
    </web-resource-collection>
    <auth-constraint>
        <role-name>admin</role-name>
    </auth-constraint>
    <user-data-constraint>
        <transport-guarantee>NONE</transport-guarantee>
    </user-data-constraint>
</security-constraint>

 (1) web-resource-collection元素

    web-resource-collection元素标识需要限制访问的资源子集。在web-resource-collection元素中，可以定义URL模式和HTTP方法。如果不存在HTTP方法，就将安全约束应用于所有的方法。

        web-resource-name是与受保护资源相关联的名称。http-method元素可被赋予一个HTTP方法，比如GET和POS。

(2) auth-constraint元素

        auth-constraint元素用于指定可以访问该资源集合的用户角色。如果没有指定auth-constraint元素，就将安全约束应用于所有角色。

        role-name元素包含安全角色的名称。

(3) user-data-constraint元素

        user-data-constraint元素用来显示怎样保护在客户端和Web容器之间传递的数据。

        transport-guarantee元素必须具有如下的某个值：

        ● NONE，这意味着应用不需要传输保证。

        ● INTEGRAL，意味着服务器和客户端之间的数据必须以某种方式发送，而且在传送中不能改变。

        ● CONFIDENTIAL，这意味着传输的数据必须是加密的数据。

       在大多数情况下，安全套接字层(SSL)用于INTEGRAL或CONFIDENTIAL。

2.login-config元素

login-config元素用来指定所使用的验证方法、领域名和表单验证机制所需的特性。

<login-config>

    <auth-method>FORM</auth-method>

    <realm-name>appTest</realm-name>

    <form-login-config>

        <form-login-page>/login.jsp</form-login-page>

        <form-error-page>/login_failed.jsp</form-error-page>

    </form-login-config>

</login-config>

login-config子元素的描述如下：

● auth-method指定验证方法。它的值为下面的一个：BASIC、DIGEST、FORM或 CLIENT-CERT

● realm-name指定HTTP Basic验证中使用的领域名。

●form-login-config指定基于表单的登录中应该使用的登录页面和出错页面。如果没有使用基于表单的验证，则忽略这些元素。这个元素的定义如下，其中form-login-page用于指定显示登录页面的资源路径， form-error-page则用于指定用户登录失败时显示出错页面的资源路径。这两个页面路径都必须以a/开始，并与应用目录相对应。

3.security-role元素

security-role元素指定用于安全约束中的安全角色的声明。

<security-role>

    <description>admin</description>

    <role-name>admin</role-name>

</security-role>

 

<security-constraint>   
  <display-name>   
  baseporject</display-name>   
  <web-resource-collection>   
   <web-resource-name>baseproject</web-resource-name>   
   <url-pattern>*.jsp</url-pattern>   
   <url-pattern>*.do</url-pattern>   
   <http-method>GET</http-method>   
   <http-method>PUT</http-method>   
   <http-method>HEAD</http-method>   
   <http-method>TRACE</http-method>   
   <http-method>POST</http-method>   
   <http-method>DELETE</http-method>   
   <http-method>OPTIONS</http-method>   
  </web-resource-collection>   
  <auth-constraint>   
   <description>   
   baseproject</description>   
   <role-name>All Role</role-name>   
  </auth-constraint>   
  <user-data-constraint>   
   <transport-guarantee>NONE</transport-guarantee>   
  </user-data-constraint>   
</security-constraint>   
<login-config>Xml代码   

<!--四种验证方式,附在最后有说明-->    
  <auth-method>FORM</auth-method>    
  <form-login-config>    
   <form-login-page>/login.html</form-login-page>    
   <form-error-page>/error.html</form-error-page>    
  </form-login-config>    
</login-config>    
<security-role>    
  <role-name>All Role</role-name>    
</security-role>

 自己项目采用：

<security-constraint>
		<web-resource-collection>
			<web-resource-name>testxiangmu</web-resource-name>
			<url-pattern>/ssl/*</url-pattern>
		</web-resource-collection>
		<user-data-constraint>
			<transport-guarantee>CONFIDENTIAL</transport-guarantee>
		</user-data-constraint>
	</security-constraint>

网上配置SSL的例子 

http://www.oschina.net/question/12_23148

 

 

web.xml中的Security Constraint元素
lolichan的博客
09-27 1617
&lt;security-constriant&gt;元素是tomcat用来指示服务器对客户端访问服务端资源进行安全约束。如果不通过验证则报403错误 &lt;security-constraint&gt;     &lt;web-resource-collection&gt;       &lt;web-resource-name&gt;test&lt;/web-resource-...
详解Spring mvc的web.xml配置说明
08-31
除了以上提到的配置，`web.xml`还可以包含错误页面定义、安全配置（如`<security-constraint>`）、本地化支持（`locale-encoding-mapping-list`）等。正确的配置有助于提升应用程序的性能、安全性和可维护性。理解并...
web.xml中<security-constraint>和四种认证类型
01-17 1492
的子元素 是可选的，如果没有 元素，这表示将禁止所有 HTTP 方法访问相应的资源。  子元素 需要和 相配合使用，但可以被单独使用。如果没有 子元素，这表明任何身份的用户都可以访问相应的资源。也就是说，如果 中没有 子元素的话，配置实际上是不起中用的。如果加入了 子元素，但是其内容为空，这表示所有身份的用户都被禁止访问相应的资源。  web.xml:  Xml代
web.xml中安全认证标签说明
走在java的路途上
05-16 1239
1.security-constraint元素 部署描述符中的元素允许不通过编程就可以限制对某个资源的访问。     default             all files         /*                 admin                 NONE     (1) web-resource-collection元素
web.xml中的security-constraint
linj努力，奋斗
11-29 2885
/* PUT SEARCH DELETE COPY MOVE PROPFIND PROPPATCH MKCOL LOCK UNLOCK HEAD OPTIONS TRACE PATCH All Role --> BASIC 其中的， All Role 如果有元
web.xml文件中的<security-constraint>标签。如何使用
10-25
`web.xml`文件中的`<security-constraint>`标签用于定义Servlet容器（如Apache Tomcat、Jetty等）对特定资源的保护级别，主要用于实现安全控制，例如授权访问权限。它通常包含以下几个元素： - `web-resource-...
<?xml version="1.0" encoding="UTF-8"?> <!--<web-app xmlns="http://java.sun.com/xml/ns/j2ee"--> <!-- xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance"--> <!-- xsi:schemaLocation="http://java.sun.com/xml/ns/j2ee/web-app_2_4.xsd"--> <!-- version="2.4">--> <web-app xmlns="https://jakarta.ee/xml/ns/jakartaee" xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance" xsi:schemaLocation="https://jakarta.ee/xml/ns/jakartaee https://jakarta.ee/xml/ns/jakartaee/web-app_5.xsd" version="5.0"> <display-name>howie2</display-name> <filter> <filter-name>hmvc</filter-name> <filter-class>com.howie.hmvc.DispatcherFilter</filter-class> </filter> <filter-mapping> <filter-name>hmvc</filter-name> <url-pattern>*.jsp</url-pattern> </filter-mapping> <filter-mapping> <filter-name>hmvc</filter-name> <url-pattern>*.html</url-pattern> </filter-mapping> <filter-mapping> <filter-name>hmvc</filter-name> <url-pattern>*.jhtml</url-pattern> </filter-mapping> <filter-mapping> <filter-name>hmvc</filter-name> <url-pattern>*.aj</url-pattern> </filter-mapping> <filter-mapping> <filter-name>hmvc</filter-name> <url-pattern>*.ar</url-pattern> </filter-mapping> <jsp-config> <taglib> <taglib-uri>asy</taglib-uri> <taglib-location>/WEB-INF/anshuyun.tld</taglib-location> </taglib> </jsp-config> <error-page> <error-code>404</error-code> <location>/error/404.jsp</location> </error-page> <error-page> <error-code>500</error-code> <location>/error/500.jsp</location> </error-page> <session-config> <session-timeout>20</session-timeout> <!-- <cookie-config> <secure>true</secure> </cookie-config> --> </session-config> <security-constraint> <web-resource-collection> <url-pattern>/*</url-pattern> <http-method>PUT</http-method> <http-method>DELETE</http-method> <http-method>HEAD</http-method> <http-method>OPTIONS</http-method> <http-method>TRACE</http-method> </web-resource-collection> <au
03-20
#### 安全约束 (`<security-constraint>`) 安全约束用于保护 Web 应用程序中的资源，确保只有经过身份验证的用户才能访问某些路径。下面是一段典型的配置： ```xml <security-constraint> <display-name>Admin ...
<?xml version="1.0" encoding="UTF-8"?> <web-app xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance" xmlns="http://xmlns.jcp.org/xml/ns/javaee" xsi:schemaLocation="http://xmlns.jcp.org/xml/ns/javaee http://xmlns.jcp.org/xml/ns/javaee/web-app_3_1.xsd" id="WebApp_ID" version="3.1"> <display-name>books</display-name> <welcome-file-list> <welcome-file>index.html</welcome-file> <welcome-file>index.htm</welcome-file> <welcome-file>index.jsp</welcome-file> <welcome-file>default.html</welcome-file> <welcome-file>default.htm</welcome-file> <welcome-file>default.jsp</welcome-file> </welcome-file-list> </web-app>什么意思
06-10
### web.xml中web-app标签及其子元素的作用与配置方法 #### 1. web-app标签的含义 `web-app` 是 `web.xml` 文件中的根元素，表示一个Web应用程序的部署描述符。它定义了整个Web应用的配置信息，包括过滤器、监听器...
<!DOCTYPE html> <html lang="en" xmlns:th="http://www.thymeleaf.org"> <head> <meta charset="UTF-8"> <title>员工信息</title> <script type="text/javascript" th:src="@{/js/vue.global.js}"></script> </head> <body> <table id="dataTable" border="1" cellspacing="0" cellpadding="0" style="text-align:center"> <tr> <th colspan="5">员工信息</th> </tr> <tr> <th>编号</th> <th>姓名</th> <th>邮箱</th> <th>性别</th> <th>操作</th> </tr> <tr th:each="employee : ${employeeList}"> <td th:text="${employee.id}"></td> <td th:text="${employee.lastName}"></td> <td th:text="${employee.email}"></td> <td th:text="${employee.gender}"></td> <td> <a @click="deleteEmployee" th:href="@{'/employee/' + ${employee.id}}">删除</a> <a href="">修改</a> </td> </tr> </table> <form id="deleteForm" method="post"> <input type="hidden" name="_method" value="delete"> </form> <script type="text/javascript"> var vue = new Vue({ el: "#dataTable", methods: { deleteEmployee: function (event) { var deleteForm = document.getElementById("deleteForm"); deleteForm.action = event.target.href; deleteForm.submit(); event.preventDefault(); } } }); </script> </body> </html> //删除员工信息 @RequestMapping(value = "/employee/{id}",method = RequestMethod.DELETE) public String deleteEmployee(@PathVariable("id") Integer id){ employeeDao.delete(id); return "redirect:/employee"; } <?xml version="1.0" encoding="UTF-8"?> <web-app xmlns="http://xmlns.jcp.org/xml/ns/javaee" xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance" xsi:schemaLocation="http://xmlns.jcp.org/xml/ns/javaee http://xmlns.jcp.org/xml/ns/javaee/web-app_4_0.xsd" version="4.0"> <!--配置编码过滤器--> <filter> <filter-name>CharacterEncodingFilter</filter-name> <filter-class>org.springframework.web.filter.CharacterEncodingFilter</filter-class> <init-param> <param-name>encoding</param-name> <param-value>UTF-8</param-value> </init-param> <init-param> <param-name>forceResponseEncoding</param-name> <param-value>true</param-value> </init-param> </filter> <filter-mapping> <filter-name>CharacterEncodingFilter</filter-name> <url-pattern>/*</url-pattern> </filter-mapping> <!--配置 处理请求方式put，delete的HiddenHttpmethodFilter--> <filter> <filter-name>hiddenHttpMethodFilter</filter-name> <filter-class>org.springframework.web.filter.HiddenHttpMethodFilter</filter-class> </filter> <filter-mapping> <filter-name>hiddenHttpMethodFilter</filter-name> <url-pattern>/*</url-pattern> </filter-mapping> <!--配置SpringMVC的前端控制器DispatcherServlet--> <servlet> <servlet-name>DispatcherServlet</servlet-name> <servlet-class>org.springframework.web.servlet.DispatcherServlet</servlet-class> <init-param> <param-name>contextConfigLocation</param-name> <param-value>classpath:springMVC.xml</param-value> </init-param> <load-on-startup>1</load-on-startup> </servlet> <servlet-mapping> <servlet-name>DispatcherServlet</servlet-name> <url-pattern>/</url-pattern> </servlet-mapping> </web-app> <?xml version="1.0" encoding="UTF-8"?> <beans xmlns="http://www.springframework.org/schema/beans" xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance" xmlns:context="http://www.springframework.org/schema/context" xmlns:mvc="http://www.springframework.org/schema/mvc" xsi:schemaLocation="http://www.springframework.org/schema/beans http://www.springframework.org/schema/beans/spring-beans.xsd http://www.springframework.org/schema/context http://www.springframework.org/schema/context/spring-context.xsd http://www.springframework.org/schema/mvc https://www.springframework.org/schema/mvc/spring-mvc.xsd"> <!--开启组件扫描--> <context:component-scan base-package="com.atguigu.rest"/> <!--配置thymeleaf视图解析器--> <bean id="viewResolver" class="org.thymeleaf.spring5.view.ThymeleafViewResolver"> <property name="order" value="1"/> <property name="characterEncoding" value="UTF-8"/> <property name="templateEngine"> <bean class="org.thymeleaf.spring5.SpringTemplateEngine"> <property name="templateResolver"> <bean class="org.thymeleaf.spring5.templateresolver.SpringResourceTemplateResolver"> <!-- 视图前缀 --> <property name="prefix" value="/WEB-INF/templates/"/> <!-- 视图后缀 --> <property name="suffix" value=".html"/> <property name="templateMode" value="HTML5"/> <property name="characterEncoding" value="UTF-8"/> </bean> </property> </bean> </property> </bean> <!--配置视图控制器--> <mvc:view-controller path="/" view-name="index"></mvc:view-controller> <!--开放对静态资源的访问呢--> <mvc:default-servlet-handler></mvc:default-servlet-handler> <!--开启mvc注解驱动--> <mvc:annotation-driven></mvc:annotation-driven> </beans> 报错 405 找不到方法
最新发布
07-05
步骤7：如果使用Tomcat，检查web.xml中是否配置了<security-constraint>限制了DELETE方法？通常不会。 步骤8：确保DispatcherServlet的映射是“/”，而不是“/*”或“*.xxx”，以免导致请求被错误处理。 步骤9...
Java Web 的 Security Constraint 配置
bbxyhaihua
10-16 237
的子元素 是可选的，如果没有 元素，这表示将禁止所有 HTTP 方法访问相应的资源。 子元素 需要和 相配合使用，但可以被单独使用。如果没有 子元素，这表明任何身份的用户都可以访问相应的资源。也就是说，如果 中没有 子元素的话，配置实际上是不起中用的。如果加入了 子元素，但是其内容为空，这表示所有身份的用户都被禁止访问相应的资源。 -------------------...
安全约束 security Constraint
southwind1的博客
08-04 1501
以spring boot为例,因为spring boot中内嵌tomcat。
web.xml中security-constraint安全认证标签说明
热门推荐
u012045045的博客
01-23 1万+
在做web项目时由于想给webRoot下的jsp文件进行安全保护，控制不允许直接对jsp的访问，于是找到了tomcat的安全认证机制，只需要在web.xml中进行一定的配置即可，非常方便。 1.因为使用了SpringMVC，这里先给出SpringMVC配置文件中的视图解析器配置 &lt;bean class="org.springframework.web.servlet.view.Inte...
设置 Web 工程安全访问（security-constraint）
ruky36的专栏
06-02 779
<user-data-constraint> 元素指定传输保证级别为 CONFIDENTIAL，表示需要通过 HTTPS 进行加密传输。在 Web 工程中，可以通过配置 web.xml 文件来设置安全约束，以确保某些资源只能通过 HTTPS 访问。- <web-resource-collection> 元素定义了受保护的 Web 资源集，包括名称和 URL 模式。通过这样的配置，可以有效地增强 Web 应用的安全性，保护敏感数据免受窃取和篡改。
[原创]基于TOMCAT的安全认证
zxmzxy的专栏
12-25 242
      做过WEB项目的都知道，一但涉及用户，我们不得不为用户登录写一堆繁杂的验证代码。当然Spring AOP的诞生为我们的权限管理提供了不少的便利。甚至你也以用自己写的Filter（过滤器）来对你的程序进行登录时的验证。今天在这里和大家分享一种更为简便的方法，它就是Java Web的安全验证机制。       这种机制是对立地WEB的容器之上的，如Tomcat,JBoss等，你只须在你应用...
security-constraint解决-启用不安全的http方法
kang1011的博客
11-13 2590
security-constraint解决-启用不安全的http方法 拦截具体的接口，避免一些不合规的方式直接请求攻击 <security-constraint> <web-resource-collection> <web-resource-name>securityUrl</web-resource-name> <url-pattern>/home.do&l
Tomcat -- 安全认证 -- About</security-constraint>
华天下
08-18 337
[code="java"] 做过WEB项目的都知道，一但涉及用户，我们不得不为用户登录写一堆繁杂的验证代码。当然Spring AOP的诞生为我们的权限管理提供了不少的便利。甚至你也以用自己写的Filter（过滤器）来对你的程序进行登录时的验证。今天在这里和大家分享一种更为简便的方法，它就是Java Web的安全验证机制。 这种机制是对立地WEB的容器之上的，如Tomcat,JBos...
JSP —— web.xml 中security-constraint 和 4 种认证类型
永远的北极光
07-18 2587
一、 的子元素：  ： 是可选的，如果没有 元素，这表示将禁止所有 HTTP 方法访问相应的资源。    和 ：相配合使用，但前者可以被单独使用。 注： 如果没有 子元素，这表明任何身份的用户都可以访问相应的资源。即如果 中没有 子元素的话，配置实际上是不起中用的。 如果加入了 子元素，但是其内容为空，这表示所有身份的用户都被禁止访问相应的资源。  web.xml:
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值