Tomcat服务器的Web安全的解决方法

、概述

在任何一种WEB应用开发中，不论大中小规模的，每个开发者都会遇到一些需要保护程序数据的问题，涉及到用户的LOGIN ID和PASSWORD。那么如何执行验证方式更好呢？实际上，有很多方式来实现。

下面将讨论在Tomcat中实现基本的（BASIC）和基于表单的（FORM-BASED）验证方式。它通过server.xml和web.xml文件提供基本的和基于表单的验证。

对于采用基于表单的（FORM-BASED）验证方式，只是要求在登录的JSP页面中的j_security_check表单(for FORM-based) 需要两个参数：j_username和j_password。

对于用户的登录的名称和密码在Tomcat中可以以两种形式来存放，一是采用server.xml？；另一种也可以采用用户自己的数据库表来存储。

 

、设计系统中的各种人员的角色

 

（1）设计思想

l 统一用户管理，实现基于角色、粗粒度（基于URL）和细粒度（基于应用组件的方法调用）的访问策略管理体系，

l 基于分级角色的权限管理、统一证书管理和统一资源管理

 

（2）设计目标

一般采用数据库表（对于复杂的也可以采用LDAP）记录每个系统用户的帐号信息、功能权限和数据权限信息，这样能够增加用户管理和权限设置的灵活性，同时也避免多个用户共用一个帐号的情况。

（3）优点

 

l 从用户角度来看，登录所有应用系统都使用唯一的用户名和口令（数字证书）同时在访问系统时，也只需要登录一次（单点登录全网漫游---SSO（Single Sign-On））。

l 从管理者角度来看，提供了统一、集中、有效的用户管理。