登录页面和Servlet处理流程

Question

我正在尝试了解登录用户所涉及的过程。 有人告诉我需要创建一个servlet来访问请求/响应的标头。

这样就完成了，它获取了头信息，然后检查以确保该用户是数据库中的有效用户。 如果是这样，它将设置与此用户的会话。 如果不是，它将定向到注册页面。

我的问题是了解什么叫这个servlet，是否需要一个“开始页面来调用这个servlet？”。

Answer 1

...访问请求/响应的标头...获取标头信息...

您正在描述BASIC HTTP身份验证的工作方式。 这是众所周知的JavaScript警报类似弹出窗口，要求提供用户名和密码，并在提供不正确的凭据时导致HTTP 401未经授权错误。 这在Java EE Web应用程序中通常完全不由servlet执行，而是由特定的web.xml配置设置执行。 看起来像这样：

<security-constraint>
    <web-resource-collection>
        <web-resource-name>secured</web-resource-name>
        <url-pattern>/secured/*</url-pattern>
    </web-resource-collection>
    <auth-constraint>
        <role-name>someRoleName</role-name>
    </auth-constraint>
</security-constraint>

<login-config>
    <auth-method>BASIC</auth-method>
</login-config>

用户和角色的位置在servlet容器本身中配置。 这可以是XML文件，也可以是数据库。 您需要使用关键字“领域”来参考servlet容器特定的文档，以了解如何配置它。 以Tomcat为例，它是Tomcat Realm HOWTO 。

另一种方法是基于FORM的身份验证，但这不涉及如您最初要求的那样通过请求标头传递登录信息。 而且，通常完全不涉及servlet，因为这是由容器的内置机制自动执行的。 您只需要从上至下更改<login-config> ：

<login-config>
    <auth-method>FORM</auth-method>
    <form-login-config>
        <form-login-page>/login.jsp</form-login-page>
        <form-error-page>/error.jsp</form-error-page>
    </form-login-config>
</login-config>

login.jsp应该具有HTML表单，该表单应由POST通过POST提交到预定义URL j_security_check ，并将用户名和密码作为预定义请求参数j_username和j_password 。

<form action="j_security_check" method="post">
    <input type="text" name="j_username" />
    <input type="password" name="j_password" />
    <input type="submit" value="login" />
</form>

这样做的好处是，您可以使用所需的方式以带有一些不错的HTML / CSS / JS的登录表单来显示该页面，而不是显示一个裸露的JavaScript对话框。

仅当通过调用request.login(username, password)进行程序性登录时，才使用servlet。 自Servlet 3.0（Tomcat 7，Glassfish 3等）以来，此方法是新方法。 请注意，这仍然需要web.xml的<security-constraint>和容器中的领域。 也仅在使用servlet过滤器而不是使用容器管理的身份验证进行本地身份验证时才使用Servlet 。 然后，在servlet中，应将自己登录用户的数据库模型表示形式存储在会话中，例如session.setAttribute("user", user)以便过滤器可以在其上进行拦截。

也可以看看：

• Java EE 6教程-保护Web应用程序

注意，JDeveloper 与这一切无关 。 它只是用于轻松开发Java Web应用程序的工具（IDE）。 您可以在Eclipse，Netbeans，IntelliJ甚至记事本中执行相同的操作。

Answer 2

它还取决于您要实现哪种安全性。 您提到身份存储是RDBMS（我假设是表），它允许您实现两种类型的身份验证：容器管理的和自定义的。 在自定义身份验证（不建议使用）中，您向用户挑战其用户名/密码对，并将其与数据库中的用户进行比较。 在此不进行自动身份验证检查，并且需要Servlet过滤器来确保用户访问受保护资源时得到身份验证。

容器管理-由上一个答案指示-允许您将身份验证委派给容器。 在这种情况下，您编写的应用程序（您可能会对此进行更详细的说明）本身不会处理身份验证和身份验证跟踪，而只是通过web.xml中的配置将请求重定向到用于身份验证的容器。

大多数应用程序服务器允许您配置身份存储以对用户进行身份验证。 对于JDeveloper中的默认WebLogic服务器，它可以是LDAP，Active Directory，OID，WLS和SQL / Table中的集成LDAP。 后者是预定义的身份验证提供程序（SQL身份验证提供程序），它允许您配置WLS容器以针对数据库表对用户进行身份验证。

因此，我建议您使用SQL身份验证提供程序跟进容器管理的身份验证，因为这意味着工作量更少