Java EE WEB-INF 安全

Question

我有一个非常基本的登录表单，它接受用户名和密码。当提交数据时， Controller 类基本上会验证用户名和密码，如果凭据正确，则用户将被转发到位于 Java EE 项目的 WEB-INF 中的 membersOnly.jsp。由于 WEB-INF 中的内容只能通过转发访问，而不能通过重定向访问，我假设有人可以访问此信息的唯一方法是通过服务器端转发。

我的问题是，这种方法有多安全，我应该使用其他形式的安全措施吗？

Answer 1

您正在使用某种基于自定义的身份验证，但是 Java EE Standards定义了几种认证机制:

• HTTP 基本身份验证
• 基于表单的身份验证
• HTTPS 客户端身份验证

使用基于表单的身份验证，您仍然可以使用自定义表单，并将密码验证委托(delegate)给您的 Java EE 容器。几乎每个供应商都提供针对 LDAP 服务器、数据库表和其他存储库的凭证验证。