java - 在容器而不是 web.xml 中指定身份验证

Question

我们将网络应用程序作为 .war 文件分发给客户。这样，用户就可以将 war 部署到他们的容器中，然后就可以开始了。问题是我们的一些客户希望进行身份验证，并使用用户名作为应用程序中某些操作的参数。

我知道如何使用 web.xml 进行配置，但这意味着我们要么必须告诉我们的客户在 war 文件中进行修改，要么分发 2 个单独的 war；一种具有身份验证(和预定义角色)，一种没有。

我也不想对我们的客户强制进行身份验证，因为这通常需要更多有关 Java 容器和 Web 服务器的知识，并且会使我们的应用程序进行测试变得更加困难。

有没有办法在容器中而不是在网络应用程序本身中进行身份验证配置？

Answer 1

在 web.xml 中，定义安全约束以将 Web 资源集合绑定(bind)到 J2EE 角色和登录配置(两者都适用于想要对应用程序的某些资源进行访问控制的客户)。

然后，让客户将 Web 应用程序中定义的 J2EE 角色绑定(bind)到其应用程序服务器上定义的用户组特定用户和组。不需要任何访问控制的客户可以将所有角色绑定(bind)到未经授权的用户(该用户组的名称特定于应用程序服务器，例如 Websphere 称之为“Everyone”)。想要将对 Web 应用程序中的资源的访问权限限制为有限的用户或用户组的客户可以通过根据需要将角色绑定(bind)到用户/组来实现。

如果需要身份验证来验证用户在角色中的成员身份，则将使用 web.xml 中的登录配置中指定的身份验证方法。