Java EE 网络安全

Question

我有一个登录页面 (welcome-page.jsp)，它检查用户是否存在于数据库中。如果他提供的密码正确且类型正确，他将被重定向到一个页面。现在我想在发送数据时增加一些安全性。我是新来的...这是登录表单

<form method="POST" action="authentification">
        USERNAME: <input type="text" name="username" />
        PASSWORD: <input type="password" name="password" /><br/><br/>
        LOG AS:
            <select name="type">
                <option value="Manager">Manager</option>
                <option value="Employee">Employee</option>
            </select>
        <input type="submit"value="Login"/>
    </form>

这是 web.xml(据我所知，这里是为从表单发送数据增加安全性的地方)。是否可以在不创建 tomcat 用户和用户角色的情况下增加安全性？我正在使用 tomcat 7

<web-resource-collection>
    <web-resource-name>/welcome-page.jsp</web-resource-name>
    <url-pattern>/authentification</url-pattern>
    <http-method>POST</http-method>
</web-resource-collection>

<user-data-constraint>
    <transport-guarantee>CONFIDENTIAL</transport-guarantee>
</user-data-constraint>

   <auth-method>FORM</auth-method>
<form-login-config>
    <form-login-page>/welcome-page.jsp</form-login-page>
    <form-error-page>/authentification-failed.jsp</form-error-page>
</form-login-config>

Answer 1

Tomcat 可以配置为使用(用户名/密码或 SSL 客户端证书)身份验证和仅基于角色的授权。所以如果你想要不同的角色，那么是的，你将不得不创建角色。如果您只为所有用户使用一个角色，那么您可以使用“*”角色。

您在 web.xml 中缺少的内容是 <security-constraint>元素。查看 servlet 规范文档，了解如何编写安全约束。