java - 密码保护 .htaccess 就像在 Java Web 应用程序中一样

Question

我有以下场景:

我正在开发在 Jboss 6.1.0 上运行的 Java EE Web 应用程序，我想在公共(public)服务器上发布此应用程序以供最终用户测试。

例如: http://mysite.com/testings/app1/

我的问题:那么，当我的客户端尝试访问 http://mysite.com/testings/app1/ 时，以 .htaccess(Apache HTTP 服务器)方式保护该目录的适当方法是什么？被要求输入用户/密码组合？

我认为有两种选择:

1. servlet 服务器上的配置？
2. 反向代理？

我只是想澄清在这种情况下什么是最佳实践，因为对于 php 应用程序，.htaccess 功能符合我的需要。

Answer 1

你可以为此使用 spring security，我在 How do I do HTTP basic auth using Struts 2/ Spring 3? 中写了一个例子.

或者您可以使用“高于”jboss 的 apache httpd 服务器(使用重写和代理)，以便用户通过 apache 访问您的站点，然后 apache 转发到 jboss(它只会在本地主机上监听)。下面是一个示例重写规则，将“www.mysite.com”转发到端口 8009 上带有 AJP 连接器的 Web 应用程序“myapp”:

<VirtualHost www.mysite.com:80 >
    RewriteEngine on
    RewriteCond %{HTTP_HOST} www\.mysite\.com
    RewriteRule ^/(.*)$ ajp://localhost:8009/myapp/$1 [P,QSA,L]
</VirtualHost>

然后您可以使用 apache 身份验证系统，例如保护所有 admin/* 页面:

<Proxy ajp://localhost:8009/myapp/admin/* >
    Order deny,allow
    Allow from all
    AllowOverride AuthConfig
    AuthType Basic
    AuthName "Admin"
    AuthUserFile /etc/apache2/passwd/admin.passwd
    Require valid-user
</Proxy>