0

Web アプリのセキュリティ面を改善しようとしています。

Eclipse 内で動的 Web アプリケーションを作成し、フォーム ベースの認証セットアップを使用しようとしています。

<?xml version="1.0" encoding="UTF-8"?>
<web-app id="WebApp_ID" version="3.0"
 xmlns="http://java.sun.com/xml/ns/javaee"
 xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance" xsi:schemaLocation="http://java.sun.com/xml/ns/javaee http://java.sun.com/xml/ns/javaee/web-app_3_0.xsd">
 <display-name>Application</display-name>
 <context-param>
  <param-name>javax.ws.rs.Application</param-name>
  <param-value>com.foo.bar.webservices.MyApplication</param-value>
 </context-param>
 <context-param>
  <param-name>resteasy.servlet.mapping.prefix</param-name>
  <param-value>/resteasy</param-value>
 </context-param>
 <listener>
  <listener-class>org.jboss.resteasy.plugins.server.servlet.ResteasyBootstrap</listener-class>
 </listener>
 <servlet>
  <servlet-name>Resteasy</servlet-name>
  <servlet-class>org.jboss.resteasy.plugins.server.servlet.HttpServletDispatcher</servlet-class>
 </servlet>
 <servlet>
  <display-name>LoginServlet</display-name>
  <servlet-name>LoginServlet</servlet-name>
  <servlet-class>httpAuth.LoginServlet</servlet-class>
 </servlet>
 <servlet-mapping>
  <servlet-name>Resteasy</servlet-name>
  <url-pattern>/resteasy/*</url-pattern>
 </servlet-mapping>
 <servlet-mapping>
  <servlet-name>LoginServlet</servlet-name>
  <url-pattern>/LoginServlet</url-pattern>
 </servlet-mapping>
 <welcome-file-list>
  <welcome-file>/login.jsp</welcome-file>
 </welcome-file-list>
 <security-constraint>
  <display-name>Authorized Only</display-name>
  <web-resource-collection>
   <web-resource-name>Authorized Only</web-resource-name>
   <url-pattern>/restricted/*</url-pattern>
   <http-method>GET</http-method>
   <http-method>PUT</http-method>
  </web-resource-collection>
  <auth-constraint>
   <description>Allowed users</description>
   <role-name>USER</role-name>
  </auth-constraint>
  <user-data-constraint>
   <transport-guarantee>NONE</transport-guarantee>
  </user-data-constraint>
 </security-constraint>
 <login-config>
  <auth-method>FORM</auth-method>
  <form-login-config>
   <form-login-page>/login.jsp</form-login-page>
   <form-error-page>/logonError.jsp</form-error-page>
  </form-login-config>
 </login-config>
 <security-role>
  <role-name>USER</role-name>
 </security-role>
</web-app>

ただし、展開しhttp://localhost:8080/Application/restricted/index.jspて表示すると、実行すべきではありません。

編集 1: /Application を削除するように変更しました。/restricted/index.jsp などのページでは保持されません。

フォルダ内訳

Application
   +build
   -WebContent
     +css
     +img
     +js
     login.jsp
     logonError.jsp
    +META-INF
    -restricted
      index.jsp
    +WEB-INF
4

4 に答える 4

1

間違ったurl-patternを適用しているようです。これを変更してみてください

<url-pattern>/Application/restricted/*</url-pattern>

これで

<url-pattern>/restricted/*</url-pattern>
于 2013-07-30T13:39:12.460 に答える
0

サーブレット マッピングでは、次のパターンを使用しています。

<url-pattern>/resteasy/*</url-pattern>

ただし、セキュリティ上の制約のために、次のパターンを使用しています。

<url-pattern>/Application/restricted/*</url-pattern>

これらは一致する必要があります。

この Web アプリは ROOT コンテキストからではなく、/Applicationルートから実行されているとしか思えません。web.xml のパターンはコンテキストに固定されているため、/Application.xml からプレフィックスを削除する必要がありurl-patternます。

于 2013-07-30T13:39:41.527 に答える
0

私たちの組織では、セキュリティ注釈を使用しています。私の経験から言えば、セットアップと実装はかなり簡単で簡単です。たまたまアプリケーション サーバーに IBM WebSphere を使用していますが、Java EE 5 をサポートする任意のサーバーでセキュリティ アノテーションを使用できます。

Oracle には、これに関する優れた記事があります: http://www.oracle.com/technetwork/articles/javaee/security-annotation-142276.html

詳細については、Web で「Java セキュリティ アノテーション」を検索してください。

于 2013-07-30T13:32:47.323 に答える