• 典型的安全问题：假冒者、窃听者、非法升级者
  • 认证方式： Base64 、摘要认证 、客户端证书、表单认证，重点熟悉摘要算法（ HASH 、 MD5 等）
  • 安全机制：授权、认证、数据完整性、机密性
  • 80 端口、 443 端口
  • 通过 HTTP 、 HTTPS 传输数据的区别， SSL 等概念
  • 重放攻击、 SQL 注入等

【参考】

<?xml version="1.0" encoding="UTF-8"?>

<web-app xmlns="http://xmlns.jcp.org/xml/ns/javaee"

         xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance"

         xsi:schemaLocation="http://xmlns.jcp.org/xml/ns/javaee http://xmlns.jcp.org/xml/ns/javaee/web-app_3_1.xsd"

         version="3.1">

    <!-- Define servlets that are included in the web application -->

    <servlet>

        <servlet-name>jack</servlet-name>

        <servlet-class>sample.Jack</servlet-class>

        <load-on-startup>1</load-on-startup>

    </servlet>

    <servlet>

        <servlet-name>dog</servlet-name>

        <servlet-class>sample.Dog</servlet-class>

        <load-on-startup>2</load-on-startup>

        <security-role-ref>

            <role-name>VIP</role-name>

            <role-link>Member</role-link>

        </security-role-ref>

    </servlet>

    <servlet-mapping>

        <servlet-name>jack</servlet-name>

        <url-pattern>/abc/*</url-pattern>

    </servlet-mapping>

    <servlet-mapping>

        <servlet-name>dog</servlet-name>

        <url-pattern>/abc/3</url-pattern>

    </servlet-mapping>

    <servlet-mapping>

        <servlet-name>dog</servlet-name>

        <url-pattern>*.do</url-pattern>

    </servlet-mapping>

    <error-page>

        <exception-type>java.lang.Throwable</exception-type>

        <location>/WEB-INF/jsp/exception/common-exception.jsp</location>

    </error-page>

    <error-page>

        <error-code>404</error-code>

        <location>/WEB-INF/jsp/exception/404-exception.jsp</location>

    </error-page>

    <welcome-file-list>

        <welcome-file>index.html</welcome-file>

        <welcome-file>abc/3</welcome-file>

        <welcome-file>index.jsp</welcome-file>

    </welcome-file-list>

    <security-role>

        <role-name>Admin</role-name>

    </security-role>

    <security-role>

        <role-name>Member</role-name>

    </security-role>

    <security-role>

        <role-name>Guest</role-name>

    </security-role>

    <!--<login-config>-->

        <!--<auth-method>BASIC 明文认证</auth-method>-->

    <!--</login-config>-->

    <!--<login-config>-->

        <!--<auth-method>DIGEST 摘要认证</auth-method>-->

    <!--</login-config>-->

    <!--<login-config>-->

        <!--<auth-method>CLIENT-CERT 客户端证书</auth-method>-->

    <!--</login-config>-->

    <login-config>

        <auth-method>FORM</auth-method>

        <form-login-config>

            <form-login-page>/loginPage.jsp</form-login-page>

            <form-error-page>/loginError.jsp</form-error-page>

        </form-login-config>

    </login-config>

    <security-constraint>

        <web-resource-collection>

            <web-resource-name>UpdateRecipe</web-resource-name>

            <url-pattern>/abc/3</url-pattern>

            <http-method>GET</http-method>

        </web-resource-collection>

        <auth-constraint>

            <role-name>Admin</role-name>

            <role-name>Member</role-name>

        </auth-constraint>

        <!--<user-data-constraint>-->

            <!--<transport-guarantee>CONFIDENTIAL</transport-guarantee>-->

        <!--</user-data-constraint>-->

        <!-- 对资源进行传输保证（不至于明文传输密码）

        tomcat 需要开启 8443 端口，并且需要一个证书，涉及到 HTTPS、SSL 等安全协议 -->

    </security-constraint>

</web-app>

loginPage.jsp ：

<%@ page contentType="text/html;charset=UTF-8" language="java" %>

<html>

<head>

    <title>Authorization</title>

</head>

<body>

    <form method="post" action="j_security_check">

        <p><input type="text" name="j_username" /></p>

        <p><input type="secret" name="j_password" /></p>

        <p><input type="submit" value="Enter"></p>

    </form>

</body>

</html>

Servlet ：

package sample;

import javax.servlet.ServletException;

import javax.servlet.http.HttpServlet;

import javax.servlet.http.HttpServletRequest;

import javax.servlet.http.HttpServletResponse;

import java.io.IOException;

import java.io.PrintWriter;

public class Dog extends HttpServlet {

    @Override

    protected void doGet(HttpServletRequest req, HttpServletResponse resp) throws ServletException, IOException {

        resp.setContentType("text/html");

        PrintWriter out = resp.getWriter();

        if (req.isUserInRole("VIP")) { // 【授权】程序式授权，对应的是在 web.xml 中的声明式授权

            out.println("Only VIP can see.");

            out.println(req.getRemoteUser()); // 【认证】确认用户身份，打印出来是 username

        }

        out.println("he is not jack.");

    }

}

【Head First Servlets and JSP】笔记 27： web 应用安全的更多相关文章

  1. 【Head First Servlets and JSP】笔记23：Expression Language(EL) 完全攻略

    基本上是<Head First Servlets and JSP>内容的整理.扩充.顺便推荐一个供参考的JSP教程:JSP Tutorial内容很全面,还有一些有趣的实例. 完整代码参考 ...

  2. 【Head First Servlets and JSP】笔记3：Servlet的生命周期

    1.servlet的存在就是要为客户服务.servlet的任务就是得到一个用户的请求,再发回一些响应. 请求可能很复杂,也可能很简单,例如,“为我的购物车结账”,这个请求携带了一些重要的数据,你必须知 ...

  3. Spring实战第六章学习笔记————渲染Web视图

    Spring实战第六章学习笔记----渲染Web视图 理解视图解析 在之前所编写的控制器方法都没有直接产生浏览器所需的HTML.这些方法只是将一些数据传入到模型中然后再将模型传递给一个用来渲染的视图. ...

  4. servlet+jsp+java实现Web 应用

    servlet+jsp+java实现Web 应用 用java来构建一个web应用是特别容易的事情,jsp和php很像,可以嵌套在html中.程序的结构很简单,也很清楚,本文主要记录下大概的开发过程和环 ...

  5. JSP/JSF从web.xml中取出context-param的配置信息

    JSP/JSF从web.xml中取出context-param的配置信息. 应用场景:我们配置了项目的版本信息,想让他显示在页面上,如: <context-param><!-- ## ...

  6. JAVA自学笔记27

    JAVA自学笔记27 1.类的加载 1)当程序要使用某个类时,如果该类还未被加载到内存中,则系统会通过加载,连接,初始化三步来实现对这个类进行初始化. ①加载:就是指将class文件读入内存,并为之创 ...

  7. go语言，golang学习笔记2 web框架选择

    go语言,golang学习笔记2 web框架选择 用什么go web框架比较好呢?能不能推荐个中文资料多的web框架呢? beego框架用的人最多,中文资料最多 首页 - beego: 简约 & ...

  8. servlet+jsp+java实现Web应用

    servlet+jsp+java实现Web应用 环境: 1,eclipse 2,tomcat3,eclipse tomcat 插件 开发过程: 1,建立一个Dynamic Web Project 2, ...

  9. Spring实战第九章学习笔记————保护Web应用

    保护Web应用 在这一章我们将使用切面技术来探索保护应用程序的方式.不过我们不必自己开发这些切面----我们将使用Spring Security,一种基于Spring AOP和Servlet规范的Fi ...

  10. JSP笔记04——架构（转）

    原始内容:https://www.tutorialspoint.com/struts_2/basic_mvc_architecture.htm Web服务器需要一个JSP引擎,即一个处理JSP页面的容 ...

随机推荐

  1. PHP后台代码解决跨域问题

      在前端里面,解决跨域的时候总显得那么的恶心,什么jsonp啊,ajax啊,CORS啊什么的,总觉得是在钻空子进行跨域,其实在PHP文件里面只需要加一段代码就可以跨域了,前端你该怎么写还是怎么写,p ...

  2. Java四种会话跟踪技术

    1.cookie:2.session:3.隐藏表单域:4.URL重写

  3. [SCOI2010]字符串

    思路: 设1为向(1,1)方向走,0为向(1,-1)方向走.那么题意可转化为从(0,0)走到(n+m,n-m)且不能跨过y=0的方案数.总方案数C(n+m,n),然后要减去不合法的即线路通过y=-1的 ...

  4. Objective-C代码学习大纲(1)

    2011-05-11 14:06 佚名 otierney 字号:T | T 本文为台湾出版的<Objective-C学习大纲>的翻译文档,系统介绍了Objective-C代码,很多名词为台 ...

  5. 160321、ORACLE分页查询SQL语法——最高效的分页

    --1:无ORDER BY排序的写法.(效率最高) --(经过测试,此方法成本最低,只嵌套一层,速度最快!即使查询的数据量再大,也几乎不受影响,速度依然!) SELECT *   FROM (SELE ...

  6. [ Office 365 开发系列 ] 前言

    前言 本人从接触Microsoft SharePoint Server 2007到目前为止,已经在微软SharePoint的路上已经走了好几年,基于SharePoint平台的特殊性,对微软产品线都有了 ...

  7. datasnap rest Windows客户端编写

    首先吐槽一下XE关于datasnap的资料真的是太少了... 服务端用DSHTTPService1控件可以实现http接口方式的调用,返回的都是json格式数据,适用于跨平台解析. 这里着重强调一下d ...

  8. 向git服务器添加shh公钥

    步骤一,从客户端获得 SSH 公钥 为了使客户端可以向 Git 服务器提供 SSH 公钥,首先要确认客户端拥有公钥.SSH 的密钥存储在 ~/.ssh/ 目录下,下面我们查看一下这里面都有哪些文件: ...

  9. LInux中ThreadInfo中的preempt_count字段

    最近看各种上下文,发现和ThreadInfo中的preemption字段密切,于是便调查了下. 看下Linux源码中的注释: /* * We put the hardirq and softirq c ...

  10. 部署knight项目

    发布CRM你将使用以下软件 nginx uWSGI CentOS7 CRM项目文件 virtualenv supervisor WSGI.uWSGI python web服务器开发使用WSGI协议(W ...