Java EE Web安全

Question

我有一个登录页面（ welcome-page.jsp ），该welcome-page.jsp检查用户是否存在于数据库中。 如果他提供的密码正确且类型正确，则会在页面上将其重定向。 现在，我想在发送数据时增加一些安全性。 我是新手。这是登录表单

<form method="POST" action="authentification">
        USERNAME: <input type="text" name="username" />
        PASSWORD: <input type="password" name="password" /><br/><br/>
        LOG AS:
            <select name="type">
                <option value="Manager">Manager</option>
                <option value="Employee">Employee</option>
            </select>
        <input type="submit"value="Login"/>
    </form>

这是web.xml（据我所知，这里是为从表单发送数据添加安全性的地方）。 是否可以在不创建tomcat用户和用户角色的情况下增加安全性？ 我正在使用tomcat 7

<web-resource-collection>
    <web-resource-name>/welcome-page.jsp</web-resource-name>
    <url-pattern>/authentification</url-pattern>
    <http-method>POST</http-method>
</web-resource-collection>

<user-data-constraint>
    <transport-guarantee>CONFIDENTIAL</transport-guarantee>
</user-data-constraint>

   <auth-method>FORM</auth-method>
<form-login-config>
    <form-login-page>/welcome-page.jsp</form-login-page>
    <form-error-page>/authentification-failed.jsp</form-error-page>
</form-login-config>

Answer 1

可以将Tomcat配置为使用（用户名/密码或SSL客户端证书）身份验证，并且仅使用基于角色的授权。 因此，如果您想要不同的角色，那么是的，您将必须创建角色。 如果仅对所有用户使用单个角色，则可以使用“ *”角色。

您在web.xml中缺少的是<security-constraint>元素。 查看servlet规范文档，了解如何编写安全性约束。