tomcat - 基于 Java EE 的 Web 应用程序服务器中的 JAAS 安全性是否依赖？

Question

我是 Java EE 开发的新手，但我在这方面进展顺利，我对我的应用程序的安全部分有点困惑。

我阅读了几篇关于如何在我的 Java EE Web 应用程序中实现 JAAS 安全性的文章。这是我阅读和理解的内容，其他人都不清楚: http://uaihebert.com/user-login-validation-with-jaas-and-jsf/

这个例子很棒，但它配置了 JBoss 服务器，我没有使用 JBoss，我也不打算这样做。如果我要使用 JAAS，我是否需要配置我正在运行(开发)的本地 Web 服务器？或许对于 JAAS 有一些我不太了解的地方？如果我按照那个例子使用 JBoss 并像他们那样配置它。当我将 Web 应用程序部署为 war 文件并上传 war 文件时(假设是在 tomcat 服务器上)，它仍然是安全的吗？

任何帮助/指导将不胜感激!谢谢!

Answer 1

Java EE 中不存在 JAAS 安全性。 JAAS 是一个 Java SE 框架，用于在类级别保护资源。您使用它来限制您下载的代码(如 Applets)可以在您的计算机上执行的操作。

对于 Java EE，情况正好相反。您不会为单个用户(您在您的计算机上)下载未知代码，但未知用户会登录您的代码(您在服务器上运行)。

有些混淆是因为一些服务器使用术语 JAAS 来表示最近称为“身份存储”(存储用户和角色的东西，如 ldap)的服务器特定实现。

但是:

• 只使用了 JAAS 的一小部分(有些类型像 LoginModule)
• 声称使用 JAAS 的服务器都以如此不同的方式来实现，以至于您只是想知道他们为什么要开始使用 JAAS
• 到目前为止，并非每个服务器都使用 JAAS。 Tomcat、Jetty、Resin、Liberty 和 WebSphere 根本不使用它。