java - web.xml 中的白名单安全约束

Question

我将 Tomcat 用于我的 Struts2 应用程序。 web.xml 有如下所示的某些条目:

<security-constraint>
    <web-resource-collection>
        <web-resource-name>restricted methods</web-resource-name>
        <url-pattern>/*</url-pattern>
        <http-method>PUT</http-method>
        <http-method>DELETE</http-method>
        <http-method>TRACE</http-method>
    </web-resource-collection>
    <auth-constraint />
</security-constraint>
<security-constraint>
   <web-resource-collection>
       <web-resource-name>no_access</web-resource-name>
       <url-pattern>/jsp/*</url-pattern>
   </web-resource-collection>
   <auth-constraint/>
</security-constraint>
    <security-constraint>
   <web-resource-collection>
       <web-resource-name>no_access</web-resource-name>
       <url-pattern>/myrrunner/*</url-pattern>
   </web-resource-collection>
   <auth-constraint/>
</security-constraint>

如何将以上列入黑名单的部分更改为仅使用白名单部分...例如，不是将 PUT、DELTE http 方法列入黑名单，而是需要将其他方法列入白名单但我不确定将它们列入白名单的语法以及将它们列入白名单的方法。

对于我上面的 web.xml 片段，如果有人可以为我提供上面 xml 的白名单计数器部分，我将不胜感激。

编辑:另外，我将如何真正验证解决方案是否有效？

谢谢

Answer 1

我会尝试以下方法:

<security-constraint>
    <web-resource-collection>
        <url-pattern>/*</url-pattern>
        <http-method>GET</http-method>
        <http-method>POST</http-method>
    </web-resource-collection>
    <!-- no auth-constraint tag here -->
</security-constraint>

<security-constraint>
    <web-resource-collection>
        <web-resource-name>restricted methods</web-resource-name>
        <url-pattern>/*</url-pattern>
    </web-resource-collection>
   <auth-constraint/>
</security-constraint>

第一个security-constraint 没有任何auth-constraint，因此任何人无需登录都可以使用GET 和POST 方法。第二个限制每个人的其他 http 方法。 (我没试过。)