Apache Tomcat 6 显示访问被拒绝错误而不是身份验证质询

Question

我在 Apache tomcat 6 上部署的 Web 应用程序中有两个不同的安全约束。Tomcat 正在为我的网站处理不同的身份验证方案。

我的问题:例如。 page1 只能由 user1 访问，page2 只能由 user2 访问。这工作正常。

问题是，如果 user1 已登录，并且他访问了 page2(user1 无法访问)，则会向他显示拒绝访问错误，而不是允许他以其他用户身份登录。如果登录用户是

Answer 1

此行为由 servlet 规范强制执行。正如@Rob 所建议的，您应该向您的用户提供一些处理“未经授权”情况的选项:例如，注销并再次尝试访问该资源(这将要求提供新的凭据)。