java - 放置 JSP 的标准做法

Question

是否有效、标准和最佳实践放置

• 可公开访问的页面位于 WEB-INF 文件夹之外，例如

  index.jsp, home.jsp, store.jsp, login.jsp, registration.jsp... and

• 像

  这样的安全页面

  admin.jsp, reports.jsp, manageusers.jsp, manageproducts.jsp...

  出于安全原因(无法通过 url 直接访问)，通过创建controller servlets<在 WEB-INF 文件夹中/strong> 访问它们

• 并包含类似

  navigation.jsp, header.jsp, footer.jsp, sitemap.jsp...

  在 特别保护的目录 中 不要 直接从 url 访问 ??

Answer 1

这听起来有点像有人在辩论，想要打破平局？ :)

这可以分成一千种方式......但出于安全原因，我个人不会描述将它们放在 WEB-INF 中的目的，这纯粹是因为您不希望用户直接访问这些资源，因为各种原因。

您可以将 WEB-INF 用作安全基础设施的一部分，但我不会说这是标准的最佳实践。安全性应从请求级别开始，您如何将这些资源交付给用户取决于您 - WEB-INF 不是“解决方案”，也“不需要”成为解决方案。

将可访问的资源放在 WEB-INF 之外……当然，为什么不呢？

不同的框架可能会让您以某种方式将所有资源放在 WEB-INF 中，并使它们可以通过各种 Controller /过滤器/serlvet 机制访问，但这只是框架的一个属性，不应该让您相信将资源放在 WEB-INF 之外是不行的。