問題タブ [security-constraint]

アプリケーション サーバー Apache Tomcat 6.0 でPUT、DELETE、および TRACE HTTP 要求を無効にする必要があります。

私が今まで検索した他のすべてのソースは、 httpd.confの制限パラメーターに向けられました。したがって、Apache Webサーバーを使用していないこと、およびリクエストがTomcatによって直接処理されていることを事前に述べておきます。そのため、写真にhttpd.confはありません。

Tomcatでどうすればいいですか？

Apache の htpasswd コマンドを使用して、既にユーザー データベース ファイルを作成しています。このファイルは現在、Apache や Subversion などの他のいくつかのアプリケーションで使用されています。

のユーザーは次のように作成されます。

このユーザー ファイルはグローバルであり、ディレクトリごとではありません。

Tomcat 6 でこの同じファイルをセキュリティ レルムとして使用するにはどうすればよいですか?

「有効なユーザー」(レルムで有効なログインとパスワードを持つユーザー) のみがアクセスできるように、Tomcat のリソースを保護しようとしています。それらは、必ずしもレルム内のグループに属しているとは限りません。<security-constraint>ディレクティブの多くの組み合わせを試しましたが、成功しませんでした。何か案は？

これは web.xml からの抜粋です (これを使用して jboss/tomcat Web サービスを構成します)。inがurl-patterninweb-resource-collectionに関連しているかどうか疑問に思っています。 url-patternservlet-mapping

私はウェブアプリを開発しています。私は何人かの友人にそれを見させたいと思っていますが、URL に出くわした他の人には見せないようにしたいと思います. ランディング ページと、シンプルなパスワード ボックスを配置するつもりでした。正しいパスワードが入力されたら、それをセッションに記録し、ブラウザーを開いたままにする残りの時間は通常どおりサイトを公開します。

これを行う標準的な方法はありますか？これをサポートするために webapp に追加のコードを追加しますが、それを行う組み込みの方法があるかどうかはわかりません (私は Java サーブレットを使用しています)。

ありがとう

Tomcat7サーバーのデフォルトページをプライベートにしたい、つまり.htaccessパスワードを入力した後でのみアクセスできるようにしたい。

私はこのページを意味します：

その目的のために、私は追加しました：

にtomcat-users.xml。

それから私は追加しました：

にwebapps/ROOT/WEB-INF/web.xml。

しかし、デフォルトのページを開いても、htaccessダイアログボックスが表示されません。

私は何が間違っているのですか？

tomcatのセキュリティ制約をどのように無効にしますか？

基本的に、コンテキスト全体の基本認証を設定する1つのセキュリティ制約が定義されています。

たとえば、/ public-available.htmlなどの1つのファイルをこれから除外するにはどうすればよいですか？したがって、この1つのリソースを除いて、すべての認証を設定します。

Tomcat で SSL 構成のテストを行うには、これはすべて必須ですか?

以下の行は、Web サイトから取得したものです。

テストのためにこれを行うには、Tomcat に既に正常にデプロイされている任意のアプリケーションを取得し、最初に http および https を介してアクセスして、正常に動作するかどうかを確認します。はいの場合は、そのアプリケーションの web.xml を開き、web-app が終了する前に次の XML フラグメントを追加します</web-app>。

この構成は web.xml ファイル内で行う必要がありますか??

Struts2 アプリケーションに Tomcat を使用しています。には、次にweb.xml示すように特定のエントリがあります。

ホワイトリストの部分のみを使用するようにブラックリストの部分を変更するにはどうすればよいですか...たとえば、ブラックリストPUTのDELTEhttp メソッドの代わりに、他のメソッドをホワイトリストに登録する必要がありますが、それらをホワイトリストに登録する構文とそれらをホワイトリストに登録する方法がわかりません。

上記のweb.xmlスニペットについて、誰かが上記のカウンターパートをホワイトリストに登録してくれれば幸いですxml。

編集:また、ソリューションが機能するかどうかを実際に確認するにはどうすればよいですか?

ありがとう

Tomcat 7 を実行して、Tomcat サーバーで /conf/web.xml を構成して、いくつかの URL を基本認証で保護し、パブリック アクセス用に他の URL を提供しようとしています。

tomcat-users.xml には、次のロールとユーザーが含まれています。

次のセクションを Tomcats /conf/web.xml に追加しました

そのため、2 つの「security-constraint」要素があり、公開されている要素には「auth-constraint」が含まれていません。これは、実際には認証が必要ないことを意味するはずです。

URL http://localhost:8080を開くと

Tomcat は認証を要求します。これは問題ありませんが、URL http://localhost:8080/docs/を開くと、

Tomcat は認証も要求します。私の理解では、これは「安全でない」URL として構成されているため、パブリック アクセスですが、このようには動作しません。

構成で何が間違っていたのですか、それともこのシナリオはこのように機能しないはずですか?

ありがとう。ポール