JAVA流通橋

Servlet2.3中文文檔(第11,12,13章)

                                                  第十一章 請(qǐng)求到servlet的映射
11.1 URI的使用
web容器根據(jù)客戶端的請(qǐng)求決定要調(diào)用的資源。
URL路徑映射規(guī)則是第一個(gè)匹配成功就不再匹配了。
1）引擎將盡力為每一個(gè)請(qǐng)求一個(gè)servlet的路徑匹配一個(gè)servlet
2）引擎將遞歸的匹配最長的路徑前綴（在一個(gè)目錄樹中）
3）如果在URL路徑中的最后一節(jié)有擴(kuò)展名（例如：.jsp），則servlet引擎將會(huì)匹配一個(gè)適當(dāng)?shù)膕ervlet獲
取請(qǐng)求對(duì)象
4）如果沒有一個(gè)servlet能夠匹配請(qǐng)求，引擎將用一個(gè)適當(dāng)?shù)馁Y源來處理該請(qǐng)求。如：在應(yīng)用中配置了
默認(rèn)的servlet，就會(huì)被用來處理匹配不到資源的請(qǐng)求。
11.2 匹配規(guī)則
在web應(yīng)用描述文件中，匹配的定義如下：
.以'/'開始，以'/*'為結(jié)尾的字符串,用作路徑匹配
.以'*.'開始的字符串，用作擴(kuò)展名匹配
.包含'/'字符串，定義一個(gè)默認(rèn)的servlet。如匹配的servlet路徑是請(qǐng)求URI路徑的最小上下文路徑，路經(jīng)
的info為空。
.其它的字符串用作精確的匹配。
11.2.1 絕對(duì)匹配
servlet引擎能夠匹配任何精確的資源，如后綴為*.jsp的匹配，引擎中有JSP引擎的話，就會(huì)把所有的JSP
頁面和與之對(duì)象的資源相匹配。
11.2.2 匹配的例子：
path pattern servlet
/foo/bar/* servlet1
/baz/* servlet2
/catalog servlet3
*.bop servlet4
incoming path servlet handling request
/foo/bar/index.html servlet1
/foo/bar/index.bop servlet1
/baz servlet2
/baz/index.html servlet2
/catalog servlet3
/catalog/racecar.bop servlet4
/index.bop servlet4
第十二章 安全
12.1介紹
web應(yīng)用的資源能夠被很多的用戶訪問，這些資源經(jīng)常沒有保護(hù)的暴露在網(wǎng)絡(luò)中，因此一個(gè)穩(wěn)定的web
應(yīng)用需要一個(gè)安全的環(huán)境。
提高安全性有以下的幾個(gè)方面：
.認(rèn)證：訪問一個(gè)實(shí)例前需要一個(gè)特殊的ID進(jìn)行授權(quán)認(rèn)證后才能訪問該實(shí)例
.資源的訪問控制：一些機(jī)密資源或局部資源只限制給某些用戶或程序使用。
.數(shù)據(jù)完整性：在傳輸過程中數(shù)據(jù)不能被意外的改變。
.機(jī)密性：確定信息只能被授權(quán)過的用戶使用。
12.2 公共安全
安全性聲明是指表明應(yīng)用是有安全結(jié)構(gòu)的；包括權(quán)限、訪問控制、認(rèn)證。在web應(yīng)用中部署描述是安全
聲明的主要工具。
開發(fā)者應(yīng)該為應(yīng)用運(yùn)行時(shí)配一個(gè)邏輯安全策略，在運(yùn)行時(shí)中，servlet引擎用這個(gè)安全策略去驗(yàn)證授權(quán)請(qǐng)
求。
安全模塊應(yīng)該適用web應(yīng)用的靜態(tài)內(nèi)容，當(dāng)servlet用RequestDispatcher調(diào)用一個(gè)靜態(tài)資源或servlet用
forward或include,時(shí)安全模塊不適用。
12.3 程序級(jí)安全
當(dāng)應(yīng)用的安全模塊不能充分的表明安全時(shí)程序安全就可以被使用。
程序安全有以下部分組成：
HttpServletRequest接口：
.getRemoteUser
.isUserInRole
.getUserPrincipal
getRemoteUser方法返回客戶端用戶的名稱，用于授權(quán)。
isUserInRole方法判斷遠(yuǎn)程用戶是否在一個(gè)安全的角色內(nèi)。
getUserPrincipal方法返回一個(gè)java.security.Principal對(duì)象，表明當(dāng)前用戶的主要名稱。這個(gè)API允許
servlet根據(jù)這個(gè)信息處理一些業(yè)務(wù)邏輯。
如果用戶沒有授權(quán)，getRemoteUser返回null，isUserInRole返回false，getUserPrincipal返回null。
isUserInRole以一個(gè)role-name為參數(shù)。一個(gè)security-role-ref元素為在部署描述文件中定義，role-name
子元素包含角色名稱。Security-role包含一個(gè)子元素role-link,role-link的value值是客戶端用戶將匹配的
安全角色。當(dāng)用isUserInRole時(shí)引擎將調(diào)用security-role-ref到security-role的匹配。
舉個(gè)例子：
<security-role-ref>
<role-name>FOO</role-name>
<role-link>manager</role-link>
</security-role-ref>
當(dāng)一個(gè)用戶屬于“manager”角色是調(diào)用isUsesrInRole("FOO")返回true
如果匹配一個(gè)security-role元素的security-role-ref沒有被定義，引擎必須找出一個(gè)與security-role
列表不同的roel-name元素作為web應(yīng)用默認(rèn)的安全角色。但默認(rèn)的安全角色限制了變換角色名
稱不需要重新編譯的機(jī)動(dòng)性。
12.4 角色
一個(gè)安全角色是一組用戶的邏輯名稱。當(dāng)應(yīng)用發(fā)布時(shí)，角色就部署在web應(yīng)用的運(yùn)行時(shí)環(huán)境中
了。在基于安全屬性的請(qǐng)求到來時(shí)，servlet引擎就會(huì)執(zhí)行公共安全或程序級(jí)安全。安全請(qǐng)求在以
下的一些情況中會(huì)產(chǎn)生：
1）開發(fā)者給用戶群配置了一個(gè)安全角色。
2）開發(fā)者把一個(gè)安全角色配置給一個(gè)安全域中的一個(gè)主要名稱。
12.5 驗(yàn)證
web客戶端可以用以下的一些機(jī)制驗(yàn)證用戶：
.HTTP Basic Authentication
.HTTP Digest Authentication
.HTTPS Client Authentication
.Form Based Authentication
12.5.1 HTTP Basic Authentication
HTTP Basic Authentication是基于用戶名和密碼的驗(yàn)證機(jī)制，是在HTTP/1.0規(guī)范中定義的。web
服務(wù)要求客戶端驗(yàn)證用戶，web服務(wù)用一個(gè)realm字符串作為請(qǐng)求的一部分，用戶通過這個(gè)realm
字符串被驗(yàn)證。realm字符串不會(huì)和任何安全域相關(guān)聯(lián)。客戶端獲得用戶名稱和密碼發(fā)送到服務(wù)
端。然后服務(wù)端用一個(gè)特殊的realm去驗(yàn)證該用戶。
Basic Authentication 不是安全的驗(yàn)證協(xié)議。用戶的密碼是用base64編碼的，服務(wù)端是不能夠識(shí)
別的。一些附加的安全措施可以被使用，這些協(xié)議有：HTTPS安全傳輸協(xié)議或網(wǎng)絡(luò)安全標(biāo)準(zhǔn)（如
IPSEC協(xié)議、VPN策略）。
12.5.2 HTTP Digest Authentication
和HTTP Basic Authentication一樣，HTTP Digest Authentication 也是驗(yàn)證用戶名和密碼的。然而
這種驗(yàn)證是把密碼加密傳輸?shù)模菳asic Authentication的base64編碼要安全的多。Digest
Authentication 沒有被廣泛的運(yùn)用，建議servlet引擎支持這種驗(yàn)證，但不是必須的。
12.5.3 Form Based Authentication
web應(yīng)用部署描述文件包含登陸表單和錯(cuò)誤頁面。登陸表單必須包含用戶名和用戶密碼字段，這
兩個(gè)字段必須以j_username和j_password命名。當(dāng)一個(gè)用戶要訪問一個(gè)被保護(hù)的資源時(shí)，引擎就
會(huì)驗(yàn)證該用戶信息，如果該用戶驗(yàn)證通過就會(huì)調(diào)用保護(hù)的資源，如果沒有驗(yàn)證通過，以下的步驟
就會(huì)發(fā)生：
1）登陸表單被送到客戶端，啟動(dòng)這個(gè)驗(yàn)證的URL路徑將被引擎保存。
2）用戶被要求填寫用戶名和密碼
3）客戶端重新post表單到服務(wù)端
4）引擎嘗試著重新去驗(yàn)證該用戶的信息
5）如果驗(yàn)證有失敗，響應(yīng)被設(shè)置為401的錯(cuò)誤頁面將被返回
6）如果驗(yàn)證成功，如果該訪問的資源在一個(gè)授權(quán)角色中，將進(jìn)一步驗(yàn)證。
7）如果用戶是授權(quán)用戶，客戶端將用保存的URL路徑重新定向到訪問的資源。
發(fā)送到驗(yàn)證失敗的用戶的錯(cuò)誤頁面包含了失敗的信息。
Form Based Authentication 和 Basic Authentication 有一樣的弊端，密碼是用簡單的文本傳輸
的，不能夠被服務(wù)端驗(yàn)證。附加的一些協(xié)議可以增強(qiáng)這部分功能。如HTTPS傳輸協(xié)議，或網(wǎng)路安
全標(biāo)準(zhǔn)（如IPSEC協(xié)議或VPN策略）。
12.5.3.1 登陸表單的一些注意事項(xiàng)
登陸的表單和跟蹤session的URL實(shí)現(xiàn)上是有限制的。
登陸表單只能在cookies或SSL跟蹤session的方式下才能使用。
登陸表單要進(jìn)行驗(yàn)證的話，表單的action就必須為j_security_check。這個(gè)約束使得登陸表單訪問
的資源沒有問題，也避免了把表單外的字段提交進(jìn)請(qǐng)求中。
在HTML頁面中登陸表單的一個(gè)例子如下：
<form method="POST" action="j_security_check" >
<input type="text" name="j_username">
<input type="password" name="j_password">
</form>
當(dāng)?shù)顷懕韱我驗(yàn)镠TTP請(qǐng)求被調(diào)用時(shí)，原始的請(qǐng)求參數(shù)必須被引擎存儲(chǔ)，在驗(yàn)證成功后重新定向
請(qǐng)求的資源。
如果用登陸表單的用戶被驗(yàn)證通過，創(chuàng)建了一個(gè)session,當(dāng)session超時(shí)或調(diào)用了失效方法，使得
登陸者推出了。后續(xù)來的請(qǐng)求就必須重新對(duì)用戶進(jìn)行驗(yàn)證。
12.5.4 HTTPS Client Authentication
用HTTPS驗(yàn)證用戶是很強(qiáng)的驗(yàn)證機(jī)制。這個(gè)驗(yàn)證需要用戶擁有一個(gè)公共鑰匙（PKC）。servlet引
擎不需要支持HTTPS協(xié)議。
12.6 驗(yàn)證信息的跟蹤
基本的身份驗(yàn)證實(shí)在運(yùn)行時(shí)環(huán)境中進(jìn)行的：
1）確認(rèn)一個(gè)登陸驗(yàn)證機(jī)制或策略已經(jīng)配置在web應(yīng)用中。
2）把需驗(yàn)證的信息發(fā)往一個(gè)容器中的所有應(yīng)用。
3）當(dāng)一個(gè)安全域被刪除時(shí)，用戶的請(qǐng)求就需要重新驗(yàn)證。

posted on 2007-08-20 17:52 朱巖 閱讀(374) 評(píng)論(0)  編輯  收藏 所屬分類: servlet文章