如何在JSP中实现登录系统

Question

一个非常基本的JSP问题，因为我仍在尝试理解正确的处理方式。

我正在使用一个Web应用程序，该应用程序要求用户在工作之前先登录。 我想发生的是，每当未登录的用户尝试访问任何页面（登录页面除外）时，该用户都会被重定向到我的登录页面。

我选择的方法是在每页顶部添加一些代码，尝试从会话中获取用户对象，如果不存在，则重定向到登录名（我有一个User对象为存在的用户存储在会话中，其中包含其他详细信息（例如权限）。

这是进行身份验证的正确方法吗？ 还是我应该研究更多标准方法？

编辑：我决定将这个问题分为两个问题，因为一个问题更多是最佳实践问题，而另一个问题纯粹是技术性问题。 感谢您的答复。

Answer 1

我不知道您是否有这种选择，但是使用Java EE声明式安全性可以使您不必将验证代码放入每个JSP中。

想法是，在web.xml中指定安全规则，例如： 该 URL模式只能由该角色的用户访问。然后，当用户尝试访问受保护的资源时，容器将发出挑战。 您可以指定自己的登录页面，以在遇到用户挑战时使用。

我认为这很适合编码自己的登录名。

这是有关如何执行此操作的说明的链接 。

Answer 2

是的，JSP被编译为Servlet子类。 早日返回的正确方法是简单地放置“返回”； 在您的JSP中。

话虽如此，我认为您应该考虑其他身份验证解决方案。 最终很容易无意间忘记了1个JSP顶部的include，然后您最终不小心允许该页面上的GUEST用户！