web.xml中<security-constraint>和四种认证类型

最新推荐文章于 2024-11-29 07:35:45 发布
原创 最新推荐文章于 2024-11-29 07:35:45 发布 · 554 阅读 · 1 ·
CC 4.0 BY-SA版权
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
文章标签：

#web.xml #测试

本文详细解析了web.xml文件中的安全配置元素&lt;security-constraint&gt;及其子元素的使用方法，包括如何指定受保护资源、定义访问约束及传输层保护，并介绍了四种不同的认证方式。

摘要生成于 C知道 ，由 DeepSeek-R1 满血版支持， 前往体验 >

<security-constraint> 的子元素 <http-method> 是可选的，如果没有 <http-method> 元素，这表示将禁止所有 HTTP 方法访问相应的资源。
子元素 <auth-constraint> 需要和 <login-config> 相配合使用，但可以被单独使用。如果没有 <auth-constraint> 子元素，这表明任何身份的用户都可以访问相应的资源。也就是说，如果 <security-constraint> 中没有 <auth-constraint> 子元素的话，配置实际上是不起中用的。如果加入了 <auth-constraint> 子元素，但是其内容为空，这表示所有身份的用户都被禁止访问相应的资源。
web.xml:
Xml代码 复制代码  收藏代码
  1. <security-constraint>     
  2.   <display-name>     
  3.   baseporject</display-name>     
  4.   <web-resource-collection>     
  5.    <web-resource-name>baseproject</web-resource-name>     
  6.    <url-pattern>*.jsp</url-pattern>     
  7.    <url-pattern>*.do</url-pattern>     
  8.    <http-method>GET</http-method>     
  9.    <http-method>PUT</http-method>     
  10.    <http-method>HEAD</http-method>     
  11.    <http-method>TRACE</http-method>     
  12.    <http-method>POST</http-method>     
  13.    <http-method>DELETE</http-method>     
  14.    <http-method>OPTIONS</http-method>     
  15.   </web-resource-collection>     
  16.   <auth-constraint>     
  17.    <description>     
  18.    baseproject</description>     
  19.    <role-name>All Role</role-name>     
  20.   </auth-constraint>     
  21.   <user-data-constraint>     
  22.    <transport-guarantee>NONE</transport-guarantee>     
  23.   </user-data-constraint>     
  24. </security-constraint>     
  25. <login-config>     
  26.   
  27. <security-constraint>    
  28.   <display-name>    
  29.   baseporject</display-name>    
  30.   <web-resource-collection>    
  31.    <web-resource-name>baseproject</web-resource-name>    
  32.    <url-pattern>*.jsp</url-pattern>    
  33.    <url-pattern>*.do</url-pattern>    
  34.    <http-method>GET</http-method>    
  35.    <http-method>PUT</http-method>    
  36.    <http-method>HEAD</http-method>    
  37.    <http-method>TRACE</http-method>    
  38.    <http-method>POST</http-method>    
  39.    <http-method>DELETE</http-method>    
  40.    <http-method>OPTIONS</http-method>    
  41.   </web-resource-collection>    
  42.   <auth-constraint>    
  43.    <description>    
  44.    baseproject</description>    
  45.    <role-name>All Role</role-name>    
  46.   </auth-constraint>    
  47.   <user-data-constraint>    
  48.    <transport-guarantee>NONE</transport-guarantee>    
  49.   </user-data-constraint>    
  50. </security-constraint>    
  51. <login-config>Xml代码    
  52. <!--四种验证方式,附在最后有说明-->     
  53.   <auth-method>FORM</auth-method>     
  54.   <form-login-config>     
  55.    <form-login-page>/login.html</form-login-page>     
  56.    <form-error-page>/error.html</form-error-page>     
  57.   </form-login-config>     
  58. </login-config>     
  59. <security-role>     
  60.   <role-name>All Role</role-name>     
  61. </security-role>     
  62.   
  63. <!--四种验证方式,附在最后有说明-->    
  64.   <auth-method>FORM</auth-method>    
  65.   <form-login-config>    
  66.    <form-login-page>/login.html</form-login-page>    
  67.    <form-error-page>/error.html</form-error-page>    
  68.   </form-login-config>    
  69. </login-config>    
  70. <security-role>    
  71.   <role-name>All Role</role-name>    
  72. </security-role>    
<security-constraint>  
  <display-name>  
  baseporject</display-name>  
  <web-resource-collection>  
   <web-resource-name>baseproject</web-resource-name>  
   <url-pattern>*.jsp</url-pattern>  
   <url-pattern>*.do</url-pattern>  
   <http-method>GET</http-method>  
   <http-method>PUT</http-method>  
   <http-method>HEAD</http-method>  
   <http-method>TRACE</http-method>  
   <http-method>POST</http-method>  
   <http-method>DELETE</http-method>  
   <http-method>OPTIONS</http-method>  
  </web-resource-collection>  
  <auth-constraint>  
   <description>  
   baseproject</description>  
   <role-name>All Role</role-name>  
  </auth-constraint>  
  <user-data-constraint>  
   <transport-guarantee>NONE</transport-guarantee>  
  </user-data-constraint>  
</security-constraint>  
<login-config>  

Xml代码 
<!--四种验证方式,附在最后有说明--> 
  <auth-method>FORM</auth-method> 
  <form-login-config> 
   <form-login-page>/login.html</form-login-page> 
   <form-error-page>/error.html</form-error-page> 
  </form-login-config> 
</login-config> 
<security-role> 
  <role-name>All Role</role-name> 
</security-role>


    security-constriaint元素的用途是用来指示服务器使用何种验证方法了.此元素在web.xml中应该出现在login-config的紧前面。它包含是个可能的子元素，分别是：web-resource-collection、auth-constraint、user-data-constraint和display-name。下面各小节对它们进行介绍。
1. web-resource-collection
  此元素确定应该保护的资源,所有security-constraint元素都必须包含至少一个web-        resource-collection项.此元素由一个给出任意标识名称的web-resource-name元素、一个确定应该保护URL    的url-pattern元素、一个指出此保护所适用的HTTP命令（GET、POST等，缺省为所有方法）的http-method元素和一个提供资料的可选description元素组成。
    重要的是应该注意到，url-pattern仅适用于直接访问这些资源的客户机。特别是，它不适合于通过MVC体系结构利用RequestDispatcher来访问的页面，或者不适合于利用类似jsp:forward的手段来访问的页面。
2. auth-constraint
元素却指出哪些用户应该具有受保护资源的访问权。此元素应该包含一个或多个标识具有访问权限的用户类别role-name元素，以及包含（可选）一个描述角色的description元素。
3. user-data-constraint
这个可选的元素指出在访问相关资源时使用任何传输层保护。它必须包含一个transport-guarantee子元素（合法值为NONE、INTEGRAL或CONFIDENTIAL），并且可选地包含一个description元素。transport-guarantee为NONE值将对所用的通讯协议不加限制。INTEGRAL值表示数据必须以一种防止截取它的人阅读它的方式传送。虽然原理上（并且在未来的HTTP版本中），在INTEGRAL和CONFIDENTIAL之间可能会有差别，但在当前实践中，他们都只是简单地要求用SSL。
4 四种认证类型：

Xml代码 复制代码  收藏代码
  1. BASIC：HTTP规范，Base64    
  2. <web-app>    
  3.     ......    
  4.     <login-config>    
  5.         <auth-method>BASIC</auth-method>    
  6.     </login-config>    
  7.     ......    
  8. </web-app>    
  9.   
  10. DIGEST:HTTP规范，数据完整性强一些，但不是SSL    
  11. <web-app>    
  12.     ......    
  13.     <login-config>    
  14.         <auth-method>DIGEST</auth-method>    
  15.     </login-config>    
  16.     ......    
  17. </web-app>    
  18.   
  19. CLIENT-CERT：J2EE规范，数据完整性很强，公共钥匙（PKC）    
  20. <web-app>    
  21.     ......    
  22.     <login-config>    
  23.         <auth-method>CLIENT-CERT</auth-method>    
  24.     </login-config>    
  25.     ......    
  26. </web-app>    
BASIC：HTTP规范，Base64 
<web-app> 
    ...... 
    <login-config> 
        <auth-method>BASIC</auth-method> 
    </login-config> 
    ...... 
</web-app> 

DIGEST:HTTP规范，数据完整性强一些，但不是SSL 
<web-app> 
    ...... 
    <login-config> 
        <auth-method>DIGEST</auth-method> 
    </login-config> 
    ...... 
</web-app> 

CLIENT-CERT：J2EE规范，数据完整性很强，公共钥匙（PKC） 
<web-app> 
    ...... 
    <login-config> 
        <auth-method>CLIENT-CERT</auth-method> 
    </login-config> 
    ...... 
</web-app>

FORM：J2EE规范，数据完整性非常弱，没有加密，允许有定制的登陆界面。
<web-app>
    ......
    <login-config>
        <auth-method>FORM</auth-method>
        <form-login-config>
            <form-login-page>/login.html</form-login-page>
            <form-error-page>/error.jsp</form-error-page>
        </form-login-config>
    </login-config>
    ......
</web-app>
这里的 FORM 方式需要说明的是 登录页面的固定的元素:login.html

Html代码 复制代码  收藏代码
  1. <form name="loginform" method="post" action="j_security_check">    
  2.   
  3. <INPUT name="j_username" type="text">    
  4.   
  5. <INPUT name="j_password" TYPE="password">    
  6.   
  7. <input type="submit" value="登 录" >    
  8.   
  9. </form>    
<form name="loginform" method="post" action="j_security_check"> 

<INPUT name="j_username" type="text"> 

<INPUT name="j_password" TYPE="password"> 

<input type="submit" value="登 录" > 

</form>

form 的action 必须是j_security_check, method="post", 用户名 name="j_username" , 密码name="j_password"  这些都是固定的元素
Spring boot 内置tomcat禁止不安全HTTP方法
井底之蛙
10-16 2万+
1、在tomcat的web.xml中可以配置如下内容，让tomcat禁止不安全的HTTP方法 /* PUT DELETE HEAD OPTIONS TRACE BASIC 2、Spring boot使用内置tomcat，没有web.xml配置文件，可以通过
Unsupported major.minor version 52.0
qq 117791303
11-20 913
Unsupported major.minor version 52.0
安全约束 security Constraint
southwind1的博客
08-04 1507
以spring boot为例,因为spring boot中内嵌tomcat。
web.xml文件中的7个错误的安全配置
weixin_30673611的博客
01-29 367
关于Java的web.xml文件中配置认证和授权有大 量 的 文章。本文不再去重新讲解如何配置角色、保护web资源和设置不同类型的认证，让我们来看看web.xml文件中的一些常见的安全错误配置。 (1) 自定义的错误页面没有配置 默认情况下，Java Web应用在发生错误时会将详细的错误信息展示出来，这将暴露服务器版本和详细的堆栈信息，在有些情况下，甚至会显示Java代码的代码片段。这些信息对...
Tomcat(46)如何在Tomcat中配置安全约束？
qq_43012298的博客
11-29 586
在web.xml中，你可以定义一个或多个安全约束。每个安全约束包括一个，一个，和一个可选的。通过在web.xml中配置安全约束，你可以控制哪些用户可以访问特定的URL，并确保数据传输的安全性。这通常与Tomcat的用户和角色管理结合使用，以实现完整的访问控制。确保定期审查和更新这些配置，以维护应用程序的安全性。
web.xml文件中的<security-constraint>标签。如何使用
10-25
`web.xml`文件中的`<security-constraint>`标签用于定义Servlet容器（如Apache Tomcat、Jetty等）对特定资源的保护级别，主要用于实现安全控制，例如授权访问权限。它通常包含以下几个元素： - `web-resource-...
<?xml version="1.0" encoding="UTF-8"?> <!--<web-app xmlns="http://java.sun.com/xml/ns/j2ee"--> <!-- xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance"--> <!-- xsi:schemaLocation="http://java.sun.com/xml/ns/j2ee/web-app_2_4.xsd"--> <!-- version="2.4">--> <web-app xmlns="https://jakarta.ee/xml/ns/jakartaee" xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance" xsi:schemaLocation="https://jakarta.ee/xml/ns/jakartaee https://jakarta.ee/xml/ns/jakartaee/web-app_5.xsd" version="5.0"> <display-name>howie2</display-name> <filter> <filter-name>hmvc</filter-name> <filter-class>com.howie.hmvc.DispatcherFilter</filter-class> </filter> <filter-mapping> <filter-name>hmvc</filter-name> <url-pattern>*.jsp</url-pattern> </filter-mapping> <filter-mapping> <filter-name>hmvc</filter-name> <url-pattern>*.html</url-pattern> </filter-mapping> <filter-mapping> <filter-name>hmvc</filter-name> <url-pattern>*.jhtml</url-pattern> </filter-mapping> <filter-mapping> <filter-name>hmvc</filter-name> <url-pattern>*.aj</url-pattern> </filter-mapping> <filter-mapping> <filter-name>hmvc</filter-name> <url-pattern>*.ar</url-pattern> </filter-mapping> <jsp-config> <taglib> <taglib-uri>asy</taglib-uri> <taglib-location>/WEB-INF/anshuyun.tld</taglib-location> </taglib> </jsp-config> <error-page> <error-code>404</error-code> <location>/error/404.jsp</location> </error-page> <error-page> <error-code>500</error-code> <location>/error/500.jsp</location> </error-page> <session-config> <session-timeout>20</session-timeout> <!-- <cookie-config> <secure>true</secure> </cookie-config> --> </session-config> <security-constraint> <web-resource-collection> <url-pattern>/*</url-pattern> <http-method>PUT</http-method> <http-method>DELETE</http-method> <http-method>HEAD</http-method> <http-method>OPTIONS</http-method> <http-method>TRACE</http-method> </web-resource-collection> <au
03-20
### Jakarta EE 中 `web.xml` 的配置详解 #### 过滤器映射 (`<filter-mapping>`) 过滤器用于拦截特定请求并执行预处理或后处理逻辑。以下是 `<filter-mapping>` 的典型配置示例： ```xml <filter> <filter-name>...
详解Spring mvc的web.xml配置说明
08-31
除了以上提到的配置，`web.xml`还可以包含错误页面定义、安全配置（如`<security-constraint>`）、本地化支持（`locale-encoding-mapping-list`）等。正确的配置有助于提升应用程序的性能、安全性和可维护性。理解并...
<?xml version="1.0" encoding="UTF-8"?> <web-app xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance" xmlns="http://xmlns.jcp.org/xml/ns/javaee" xsi:schemaLocation="http://xmlns.jcp.org/xml/ns/javaee http://xmlns.jcp.org/xml/ns/javaee/web-app_3_1.xsd" id="WebApp_ID" version="3.1"> <display-name>books</display-name> <welcome-file-list> <welcome-file>index.html</welcome-file> <welcome-file>index.htm</welcome-file> <welcome-file>index.jsp</welcome-file> <welcome-file>default.html</welcome-file> <welcome-file>default.htm</welcome-file> <welcome-file>default.jsp</welcome-file> </welcome-file-list> </web-app>什么意思
06-10
### web.xml中web-app标签及其子元素的作用与配置方法 #### 1. web-app标签的含义 `web-app` 是 `web.xml` 文件中的根元素，表示一个Web应用程序的部署描述符。它定义了整个Web应用的配置信息，包括过滤器、监听器...
<!DOCTYPE html> <html lang="en" xmlns:th="http://www.thymeleaf.org"> <head> <meta charset="UTF-8"> <title>员工信息</title> <script type="text/javascript" th:src="@{/js/vue.global.js}"></script> </head> <body> <table id="dataTable" border="1" cellspacing="0" cellpadding="0" style="text-align:center"> <tr> <th colspan="5">员工信息</th> </tr> <tr> <th>编号</th> <th>姓名</th> <th>邮箱</th> <th>性别</th> <th>操作</th> </tr> <tr th:each="employee : ${employeeList}"> <td th:text="${employee.id}"></td> <td th:text="${employee.lastName}"></td> <td th:text="${employee.email}"></td> <td th:text="${employee.gender}"></td> <td> <a @click="deleteEmployee" th:href="@{'/employee/' + ${employee.id}}">删除</a> <a href="">修改</a> </td> </tr> </table> <form id="deleteForm" method="post"> <input type="hidden" name="_method" value="delete"> </form> <script type="text/javascript"> var vue = new Vue({ el: "#dataTable", methods: { deleteEmployee: function (event) { var deleteForm = document.getElementById("deleteForm"); deleteForm.action = event.target.href; deleteForm.submit(); event.preventDefault(); } } }); </script> </body> </html> //删除员工信息 @RequestMapping(value = "/employee/{id}",method = RequestMethod.DELETE) public String deleteEmployee(@PathVariable("id") Integer id){ employeeDao.delete(id); return "redirect:/employee"; } <?xml version="1.0" encoding="UTF-8"?> <web-app xmlns="http://xmlns.jcp.org/xml/ns/javaee" xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance" xsi:schemaLocation="http://xmlns.jcp.org/xml/ns/javaee http://xmlns.jcp.org/xml/ns/javaee/web-app_4_0.xsd" version="4.0"> <!--配置编码过滤器--> <filter> <filter-name>CharacterEncodingFilter</filter-name> <filter-class>org.springframework.web.filter.CharacterEncodingFilter</filter-class> <init-param> <param-name>encoding</param-name> <param-value>UTF-8</param-value> </init-param> <init-param> <param-name>forceResponseEncoding</param-name> <param-value>true</param-value> </init-param> </filter> <filter-mapping> <filter-name>CharacterEncodingFilter</filter-name> <url-pattern>/*</url-pattern> </filter-mapping> <!--配置 处理请求方式put，delete的HiddenHttpmethodFilter--> <filter> <filter-name>hiddenHttpMethodFilter</filter-name> <filter-class>org.springframework.web.filter.HiddenHttpMethodFilter</filter-class> </filter> <filter-mapping> <filter-name>hiddenHttpMethodFilter</filter-name> <url-pattern>/*</url-pattern> </filter-mapping> <!--配置SpringMVC的前端控制器DispatcherServlet--> <servlet> <servlet-name>DispatcherServlet</servlet-name> <servlet-class>org.springframework.web.servlet.DispatcherServlet</servlet-class> <init-param> <param-name>contextConfigLocation</param-name> <param-value>classpath:springMVC.xml</param-value> </init-param> <load-on-startup>1</load-on-startup> </servlet> <servlet-mapping> <servlet-name>DispatcherServlet</servlet-name> <url-pattern>/</url-pattern> </servlet-mapping> </web-app> <?xml version="1.0" encoding="UTF-8"?> <beans xmlns="http://www.springframework.org/schema/beans" xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance" xmlns:context="http://www.springframework.org/schema/context" xmlns:mvc="http://www.springframework.org/schema/mvc" xsi:schemaLocation="http://www.springframework.org/schema/beans http://www.springframework.org/schema/beans/spring-beans.xsd http://www.springframework.org/schema/context http://www.springframework.org/schema/context/spring-context.xsd http://www.springframework.org/schema/mvc https://www.springframework.org/schema/mvc/spring-mvc.xsd"> <!--开启组件扫描--> <context:component-scan base-package="com.atguigu.rest"/> <!--配置thymeleaf视图解析器--> <bean id="viewResolver" class="org.thymeleaf.spring5.view.ThymeleafViewResolver"> <property name="order" value="1"/> <property name="characterEncoding" value="UTF-8"/> <property name="templateEngine"> <bean class="org.thymeleaf.spring5.SpringTemplateEngine"> <property name="templateResolver"> <bean class="org.thymeleaf.spring5.templateresolver.SpringResourceTemplateResolver"> <!-- 视图前缀 --> <property name="prefix" value="/WEB-INF/templates/"/> <!-- 视图后缀 --> <property name="suffix" value=".html"/> <property name="templateMode" value="HTML5"/> <property name="characterEncoding" value="UTF-8"/> </bean> </property> </bean> </property> </bean> <!--配置视图控制器--> <mvc:view-controller path="/" view-name="index"></mvc:view-controller> <!--开放对静态资源的访问呢--> <mvc:default-servlet-handler></mvc:default-servlet-handler> <!--开启mvc注解驱动--> <mvc:annotation-driven></mvc:annotation-driven> </beans> 报错 405 找不到方法
最新发布
07-05
步骤7：如果使用Tomcat，检查web.xml中是否配置了<security-constraint>限制了DELETE方法？通常不会。 步骤8：确保DispatcherServlet的映射是“/”，而不是“/*”或“*.xxx”，以免导致请求被错误处理。 步骤9...
web.xml配置详解
xiaotom5的专栏
11-01 695
部署描述符实际上是一个XML文件，包含了很多描述servlet/JSP应用的各个方面的元素，如servlet注册、servlet映射以及监听器注册。部署描述符从下面的XML头开始： 这个头指定了XML的版本号以及所使用的编码。头的下面是DOCTYPE声明： PUBLIC "-//Sun Microsystems, Inc.//DTD Web Application 2.3//EN"
Weblogic 禁用不安全的http请求
linfanhehe的专栏
11-07 1万+
网上搜了好多禁用http请求的方法，都是介绍tomcat容器下的相关配置，但是把web项目放到weblogic容器下会报错，无论如何也启动不起来，费了一番功夫找到一篇文章，问题解决 初次使用Weblogic，因为之前是在Jboss或tomcat上部署的工程，运行正常，但是在weblogic上安装部署的时候，就出现了一个常见的问题：如下   意思是无法加载web
tomcat对于web.xml的security-constraint使用的处理机制
热门推荐
杨军的博客
11-22 3万+
知识点 web.xml中 的子元素 是可选的，如果没有 元素，这表示将禁止所有 HTTP 方法访问相应的资源。 子元素 需要和 相配合使用，但可以被单独使用。如果没有 子元素，这表明任何身份的用户都可以访问相应的资源。也就是说，如果 中没有 子元素的话，配置实际上是不起中用的。如果加入了 子元素，但是其内容为空，这表示所有身份的用户都被禁止访问相应的资源。  问题 对于
设置web工程安全访问（security-constraint）
werewr342352321df的专栏
04-15 5543
<br />在我们web工程的web.xml中设置security-constraint属性（即安全-约束）<br /> 配置如下：<br /> <security-constraint><br /><br /> <web-resource-collection><br /> <web-resource-name>User Basic Auth</web-resource-name><br /> <url-pattern>/*</url-pattern><br />
web.xml中的security-constraint
linj努力，奋斗
11-29 2885
/* PUT SEARCH DELETE COPY MOVE PROPFIND PROPPATCH MKCOL LOCK UNLOCK HEAD OPTIONS TRACE PATCH All Role --> BASIC 其中的， All Role 如果有元
Tomcat全局/局部https访问配置方法【tomcat容器的配置文件web.xml中添加security-constraint】
Thinking
08-01 1万+
文章来源：
TOMCAT HTTPS访问配置应用
只有不断地学习，不断地进步，才能感受到生活的快乐，意义。。。。
03-20 2443
TOMCATHTTPS访问设置   1.     首先确定已经安装了JDK或JRE，并配置java运行环境。 OnWindows： C:\>set JAVA_HOME=C:\Program Files\Java\jdk1.6.0_16 C:\>set PATH=%JAVA_HOME%\bin;%PATH% On Linux: # exportJAVA_HOME=/usr/java/l
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值