• 典型的安全问题：假冒者、窃听者、非法升级者
  • 认证方式： Base64 、摘要认证 、客户端证书、表单认证，重点熟悉摘要算法（ HASH 、 MD5 等）
  • 安全机制：授权、认证、数据完整性、机密性
  • 80 端口、 443 端口
  • 通过 HTTP 、 HTTPS 传输数据的区别， SSL 等概念
  • 重放攻击、 SQL 注入等

【参考】

<?xml version="1.0" encoding="UTF-8"?>

<web-app xmlns="http://xmlns.jcp.org/xml/ns/javaee"

         xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance"

         xsi:schemaLocation="http://xmlns.jcp.org/xml/ns/javaee http://xmlns.jcp.org/xml/ns/javaee/web-app_3_1.xsd"

         version="3.1">

    <!-- Define servlets that are included in the web application -->

    <servlet>

        <servlet-name>jack</servlet-name>

        <servlet-class>sample.Jack</servlet-class>

        <load-on-startup>1</load-on-startup>

    </servlet>

    <servlet>

        <servlet-name>dog</servlet-name>

        <servlet-class>sample.Dog</servlet-class>

        <load-on-startup>2</load-on-startup>

        <security-role-ref>

            <role-name>VIP</role-name>

            <role-link>Member</role-link>

        </security-role-ref>

    </servlet>

    <servlet-mapping>

        <servlet-name>jack</servlet-name>

        <url-pattern>/abc/*</url-pattern>

    </servlet-mapping>

    <servlet-mapping>

        <servlet-name>dog</servlet-name>

        <url-pattern>/abc/3</url-pattern>

    </servlet-mapping>

    <servlet-mapping>

        <servlet-name>dog</servlet-name>

        <url-pattern>*.do</url-pattern>

    </servlet-mapping>

    <error-page>

        <exception-type>java.lang.Throwable</exception-type>

        <location>/WEB-INF/jsp/exception/common-exception.jsp</location>

    </error-page>

    <error-page>

        <error-code>404</error-code>

        <location>/WEB-INF/jsp/exception/404-exception.jsp</location>

    </error-page>

    <welcome-file-list>

        <welcome-file>index.html</welcome-file>

        <welcome-file>abc/3</welcome-file>

        <welcome-file>index.jsp</welcome-file>

    </welcome-file-list>

    <security-role>

        <role-name>Admin</role-name>

    </security-role>

    <security-role>

        <role-name>Member</role-name>

    </security-role>

    <security-role>

        <role-name>Guest</role-name>

    </security-role>

    <!--<login-config>-->

        <!--<auth-method>BASIC 明文认证</auth-method>-->

    <!--</login-config>-->

    <!--<login-config>-->

        <!--<auth-method>DIGEST 摘要认证</auth-method>-->

    <!--</login-config>-->

    <!--<login-config>-->

        <!--<auth-method>CLIENT-CERT 客户端证书</auth-method>-->

    <!--</login-config>-->

    <login-config>

        <auth-method>FORM</auth-method>

        <form-login-config>

            <form-login-page>/loginPage.jsp</form-login-page>

            <form-error-page>/loginError.jsp</form-error-page>

        </form-login-config>

    </login-config>

    <security-constraint>

        <web-resource-collection>

            <web-resource-name>UpdateRecipe</web-resource-name>

            <url-pattern>/abc/3</url-pattern>

            <http-method>GET</http-method>

        </web-resource-collection>

        <auth-constraint>

            <role-name>Admin</role-name>

            <role-name>Member</role-name>

        </auth-constraint>

        <!--<user-data-constraint>-->

            <!--<transport-guarantee>CONFIDENTIAL</transport-guarantee>-->

        <!--</user-data-constraint>-->

        <!-- 对资源进行传输保证（不至于明文传输密码）

        tomcat 需要开启 8443 端口，并且需要一个证书，涉及到 HTTPS、SSL 等安全协议 -->

    </security-constraint>

</web-app>

loginPage.jsp ：

<%@ page contentType="text/html;charset=UTF-8" language="java" %>

<html>

<head>

    <title>Authorization</title>

</head>

<body>

    <form method="post" action="j_security_check">

        <p><input type="text" name="j_username" /></p>

        <p><input type="secret" name="j_password" /></p>

        <p><input type="submit" value="Enter"></p>

    </form>

</body>

</html>

Servlet ：

package sample;

import javax.servlet.ServletException;

import javax.servlet.http.HttpServlet;

import javax.servlet.http.HttpServletRequest;

import javax.servlet.http.HttpServletResponse;

import java.io.IOException;

import java.io.PrintWriter;

public class Dog extends HttpServlet {

    @Override

    protected void doGet(HttpServletRequest req, HttpServletResponse resp) throws ServletException, IOException {

        resp.setContentType("text/html");

        PrintWriter out = resp.getWriter();

        if (req.isUserInRole("VIP")) { // 【授权】程序式授权，对应的是在 web.xml 中的声明式授权

            out.println("Only VIP can see.");

            out.println(req.getRemoteUser()); // 【认证】确认用户身份，打印出来是 username

        }

        out.println("he is not jack.");

    }

}

【Head First Servlets and JSP】笔记 27： web 应用安全的更多相关文章

  1. 【Head First Servlets and JSP】笔记23：Expression Language(EL) 完全攻略

    基本上是<Head First Servlets and JSP>内容的整理.扩充.顺便推荐一个供参考的JSP教程:JSP Tutorial内容很全面,还有一些有趣的实例. 完整代码参考 ...

  2. 【Head First Servlets and JSP】笔记3：Servlet的生命周期

    1.servlet的存在就是要为客户服务.servlet的任务就是得到一个用户的请求,再发回一些响应. 请求可能很复杂,也可能很简单,例如,“为我的购物车结账”,这个请求携带了一些重要的数据,你必须知 ...

  3. Spring实战第六章学习笔记————渲染Web视图

    Spring实战第六章学习笔记----渲染Web视图 理解视图解析 在之前所编写的控制器方法都没有直接产生浏览器所需的HTML.这些方法只是将一些数据传入到模型中然后再将模型传递给一个用来渲染的视图. ...

  4. servlet+jsp+java实现Web 应用

    servlet+jsp+java实现Web 应用 用java来构建一个web应用是特别容易的事情,jsp和php很像,可以嵌套在html中.程序的结构很简单,也很清楚,本文主要记录下大概的开发过程和环 ...

  5. JSP/JSF从web.xml中取出context-param的配置信息

    JSP/JSF从web.xml中取出context-param的配置信息. 应用场景:我们配置了项目的版本信息,想让他显示在页面上,如: <context-param><!-- ## ...

  6. JAVA自学笔记27

    JAVA自学笔记27 1.类的加载 1)当程序要使用某个类时,如果该类还未被加载到内存中,则系统会通过加载,连接,初始化三步来实现对这个类进行初始化. ①加载:就是指将class文件读入内存,并为之创 ...

  7. go语言，golang学习笔记2 web框架选择

    go语言,golang学习笔记2 web框架选择 用什么go web框架比较好呢?能不能推荐个中文资料多的web框架呢? beego框架用的人最多,中文资料最多 首页 - beego: 简约 & ...

  8. servlet+jsp+java实现Web应用

    servlet+jsp+java实现Web应用 环境: 1,eclipse 2,tomcat3,eclipse tomcat 插件 开发过程: 1,建立一个Dynamic Web Project 2, ...

  9. Spring实战第九章学习笔记————保护Web应用

    保护Web应用 在这一章我们将使用切面技术来探索保护应用程序的方式.不过我们不必自己开发这些切面----我们将使用Spring Security,一种基于Spring AOP和Servlet规范的Fi ...

  10. JSP笔记04——架构（转）

    原始内容:https://www.tutorialspoint.com/struts_2/basic_mvc_architecture.htm Web服务器需要一个JSP引擎,即一个处理JSP页面的容 ...

随机推荐

  1. cocos lua 加密方案

    cocos2d使用的是luajit,lua原生编译出来的bytecode和luajit是不兼容的,所以直接用luac法编译出来的bytecode脚本无法在cocos2d中使用. 目前所指的解决方案有2 ...

  2. echarts x轴坐标文字显示不全

    在echarts中应用柱状图或者折线图时,当数据量过多的时候,X轴的坐标就会显示不全(如下图图一),在ECharts图表组件内部有一个机制,用于统计xAxis坐标刻度的个数和图表宽度,从而会自动调整刻 ...

  3. ex1. 二维数组中的查找

  4. Sass之二(进阶篇)

    源码链接:http://pan.baidu.com/s/1o8M51hC 1. 数据类型 1.1 Number 数字类型,小数类型,带有像素单位的数字类型,全部都属于Number类型 Number类型 ...

  5. jstree的checkbox实例+详解

    jstree的checkbox实例较少,思索后决定进行一下整理,先上代码 $("#filtrate_row").on("loaded.jstree",funct ...

  6. SOCKS5的出现缓解了各种具体协议需要专门设计代理协议的困难局面

    socks5_百度百科 https://baike.baidu.com/item/socks5/8915011?fr=aladdin 如果您的机器具有一个合法的 Internet IP 地址, 或者您 ...

  7. Microservices 微服务概念和优点 自治 弹性 级联故障 微服务的问题 CAP 分布式事务 修改一个服务并对其部署而不影响其他任务服务

    https://en.wikipedia.org/wiki/Microservices https://zh.wikipedia.org/wiki/微服務 微服務 (Microservices) 是一 ...

  8. 实现一个自动生成小学四则运算题目的命令行程序（java实现）

    Github项目地址:https://github.com/xiaobaot/wordcount/tree/master/sizeyusuan 团队成员:谢家明(代码生成)    谢竣(测试完善) 项 ...

  9. 剑指Offer——数组中的逆序对

    题目描述: 在数组中的两个数字,如果前面一个数字大于后面的数字,则这两个数字组成一个逆序对.输入一个数组,求出这个数组中的逆序对的总数P.并将P对1000000007取模的结果输出. 即输出P%100 ...

  10. ledecode Reverse Words in a String III

    557. Reverse Words in a String III Given a string, you need to reverse the order of characters in ea ...