java - auth-constrain 和 security-role 之间有什么区别？

Question

有什么区别:

<auth-constraint><role-name>tomcat</role-name></auth-constraint>

和:

<security-role><role-name>tomcat</role-name></security-role>

在安全约束声明中？

例如，如果我如下定义 BASIC 身份验证，我应该使用哪个？

<login-config><auth-method>BASIC</auth-method></login-config>

Answer 1

根本区别在于 auth-method 解决的身份验证机制 - 身份验证是应用程序确认“您真的是您所说的那个人吗？”的方法。 - 身份验证机制可以有多种类型，但有一些是由标准 servlet 容器开箱即用支持的 - 您已经指出的是 BASIC - 这会提示浏览器提示登录对话框 - 这理想情况下不应在生产场景中使用，因为它将您的凭据以纯文本形式传输到服务器，而且在我所知道的任何浏览器中都不可自定义。通常在产品场景中，FORM 与在服务器或其他基础设施层设置 SSL 一起使用。 FORM 是高度可定制的，并且在使用 servlet Web 容器身份验证的开箱即用功能时最受欢迎。

角色名称是一个抽象，应用程序代码最终将使用它来执行授权。 “好吧，你就是你所说的那个人，但是你可以访问此页面、按钮或 Web 应用程序吗？” - 应用程序如何在内部处理这个问题不是这里的问题，但有 Declarative (Annotation based) Servlet APIs和 Server specific mappings都涉及到这里。这是一种以编程方式执行此操作的方法 - How to get user roles in a JSP / Servlet