• 典型的安全问题：假冒者、窃听者、非法升级者
  • 认证方式： Base64 、摘要认证 、客户端证书、表单认证，重点熟悉摘要算法（ HASH 、 MD5 等）
  • 安全机制：授权、认证、数据完整性、机密性
  • 80 端口、 443 端口
  • 通过 HTTP 、 HTTPS 传输数据的区别， SSL 等概念
  • 重放攻击、 SQL 注入等

【参考】

<?xml version="1.0" encoding="UTF-8"?>

<web-app xmlns="http://xmlns.jcp.org/xml/ns/javaee"

         xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance"

         xsi:schemaLocation="http://xmlns.jcp.org/xml/ns/javaee http://xmlns.jcp.org/xml/ns/javaee/web-app_3_1.xsd"

         version="3.1">

    <!-- Define servlets that are included in the web application -->

    <servlet>

        <servlet-name>jack</servlet-name>

        <servlet-class>sample.Jack</servlet-class>

        <load-on-startup>1</load-on-startup>

    </servlet>

    <servlet>

        <servlet-name>dog</servlet-name>

        <servlet-class>sample.Dog</servlet-class>

        <load-on-startup>2</load-on-startup>

        <security-role-ref>

            <role-name>VIP</role-name>

            <role-link>Member</role-link>

        </security-role-ref>

    </servlet>

    <servlet-mapping>

        <servlet-name>jack</servlet-name>

        <url-pattern>/abc/*</url-pattern>

    </servlet-mapping>

    <servlet-mapping>

        <servlet-name>dog</servlet-name>

        <url-pattern>/abc/3</url-pattern>

    </servlet-mapping>

    <servlet-mapping>

        <servlet-name>dog</servlet-name>

        <url-pattern>*.do</url-pattern>

    </servlet-mapping>

    <error-page>

        <exception-type>java.lang.Throwable</exception-type>

        <location>/WEB-INF/jsp/exception/common-exception.jsp</location>

    </error-page>

    <error-page>

        <error-code>404</error-code>

        <location>/WEB-INF/jsp/exception/404-exception.jsp</location>

    </error-page>

    <welcome-file-list>

        <welcome-file>index.html</welcome-file>

        <welcome-file>abc/3</welcome-file>

        <welcome-file>index.jsp</welcome-file>

    </welcome-file-list>

    <security-role>

        <role-name>Admin</role-name>

    </security-role>

    <security-role>

        <role-name>Member</role-name>

    </security-role>

    <security-role>

        <role-name>Guest</role-name>

    </security-role>

    <!--<login-config>-->

        <!--<auth-method>BASIC 明文认证</auth-method>-->

    <!--</login-config>-->

    <!--<login-config>-->

        <!--<auth-method>DIGEST 摘要认证</auth-method>-->

    <!--</login-config>-->

    <!--<login-config>-->

        <!--<auth-method>CLIENT-CERT 客户端证书</auth-method>-->

    <!--</login-config>-->

    <login-config>

        <auth-method>FORM</auth-method>

        <form-login-config>

            <form-login-page>/loginPage.jsp</form-login-page>

            <form-error-page>/loginError.jsp</form-error-page>

        </form-login-config>

    </login-config>

    <security-constraint>

        <web-resource-collection>

            <web-resource-name>UpdateRecipe</web-resource-name>

            <url-pattern>/abc/3</url-pattern>

            <http-method>GET</http-method>

        </web-resource-collection>

        <auth-constraint>

            <role-name>Admin</role-name>

            <role-name>Member</role-name>

        </auth-constraint>

        <!--<user-data-constraint>-->

            <!--<transport-guarantee>CONFIDENTIAL</transport-guarantee>-->

        <!--</user-data-constraint>-->

        <!-- 对资源进行传输保证（不至于明文传输密码）

        tomcat 需要开启 8443 端口，并且需要一个证书，涉及到 HTTPS、SSL 等安全协议 -->

    </security-constraint>

</web-app>

loginPage.jsp ：

<%@ page contentType="text/html;charset=UTF-8" language="java" %>

<html>

<head>

    <title>Authorization</title>

</head>

<body>

    <form method="post" action="j_security_check">

        <p><input type="text" name="j_username" /></p>

        <p><input type="secret" name="j_password" /></p>

        <p><input type="submit" value="Enter"></p>

    </form>

</body>

</html>

Servlet ：

package sample;

import javax.servlet.ServletException;

import javax.servlet.http.HttpServlet;

import javax.servlet.http.HttpServletRequest;

import javax.servlet.http.HttpServletResponse;

import java.io.IOException;

import java.io.PrintWriter;

public class Dog extends HttpServlet {

    @Override

    protected void doGet(HttpServletRequest req, HttpServletResponse resp) throws ServletException, IOException {

        resp.setContentType("text/html");

        PrintWriter out = resp.getWriter();

        if (req.isUserInRole("VIP")) { // 【授权】程序式授权，对应的是在 web.xml 中的声明式授权

            out.println("Only VIP can see.");

            out.println(req.getRemoteUser()); // 【认证】确认用户身份，打印出来是 username

        }

        out.println("he is not jack.");

    }

}

【Head First Servlets and JSP】笔记 27： web 应用安全的更多相关文章

  1. 【Head First Servlets and JSP】笔记23：Expression Language(EL) 完全攻略

    基本上是<Head First Servlets and JSP>内容的整理.扩充.顺便推荐一个供参考的JSP教程:JSP Tutorial内容很全面,还有一些有趣的实例. 完整代码参考 ...

  2. 【Head First Servlets and JSP】笔记3：Servlet的生命周期

    1.servlet的存在就是要为客户服务.servlet的任务就是得到一个用户的请求,再发回一些响应. 请求可能很复杂,也可能很简单,例如,“为我的购物车结账”,这个请求携带了一些重要的数据,你必须知 ...

  3. Spring实战第六章学习笔记————渲染Web视图

    Spring实战第六章学习笔记----渲染Web视图 理解视图解析 在之前所编写的控制器方法都没有直接产生浏览器所需的HTML.这些方法只是将一些数据传入到模型中然后再将模型传递给一个用来渲染的视图. ...

  4. servlet+jsp+java实现Web 应用

    servlet+jsp+java实现Web 应用 用java来构建一个web应用是特别容易的事情,jsp和php很像,可以嵌套在html中.程序的结构很简单,也很清楚,本文主要记录下大概的开发过程和环 ...

  5. JSP/JSF从web.xml中取出context-param的配置信息

    JSP/JSF从web.xml中取出context-param的配置信息. 应用场景:我们配置了项目的版本信息,想让他显示在页面上,如: <context-param><!-- ## ...

  6. JAVA自学笔记27

    JAVA自学笔记27 1.类的加载 1)当程序要使用某个类时,如果该类还未被加载到内存中,则系统会通过加载,连接,初始化三步来实现对这个类进行初始化. ①加载:就是指将class文件读入内存,并为之创 ...

  7. go语言，golang学习笔记2 web框架选择

    go语言,golang学习笔记2 web框架选择 用什么go web框架比较好呢?能不能推荐个中文资料多的web框架呢? beego框架用的人最多,中文资料最多 首页 - beego: 简约 & ...

  8. servlet+jsp+java实现Web应用

    servlet+jsp+java实现Web应用 环境: 1,eclipse 2,tomcat3,eclipse tomcat 插件 开发过程: 1,建立一个Dynamic Web Project 2, ...

  9. Spring实战第九章学习笔记————保护Web应用

    保护Web应用 在这一章我们将使用切面技术来探索保护应用程序的方式.不过我们不必自己开发这些切面----我们将使用Spring Security,一种基于Spring AOP和Servlet规范的Fi ...

  10. JSP笔记04——架构（转）

    原始内容:https://www.tutorialspoint.com/struts_2/basic_mvc_architecture.htm Web服务器需要一个JSP引擎,即一个处理JSP页面的容 ...

随机推荐

  1. Masonry介绍与使用实践 - iOS移动开发周报

    本文转发至 http://www.tuicool.com/articles/MRbaEnB/ 原文  http://www.infoq.com/cn/news/2014/11/masonry-intr ...

  2. .net Session延长过期时间

    一.全局网站(即服务器)级 IIS-网站-属性-Asp.net-编辑配置-状态管理-会话超时(分钟)-设置为120,即为2小时,即120分钟后如果当前用户没有操作,那么Session就会自动过期. 二 ...

  3. 1455: 罗马游戏[左偏树or可并堆]

    1455: 罗马游戏 Time Limit: 5 Sec  Memory Limit: 64 MBSubmit: 1861  Solved: 798[Submit][Status][Discuss] ...

  4. 【BZOJ4146】[AMPPZ2014]Divisors

    [BZOJ4146][AMPPZ2014]Divisors Description 给定一个序列a[1],a[2],...,a[n].求满足i!=j且a[i]|a[j]的二元组(i,j)的个数. In ...

  5. 启动phpstyle Apache的80端口被win7的System PID=4的进程占用的解决方法 以及 如何在phpStyle里发布程序

    学习前端是,用到Ajax,php语言,操作mysql数据库,浏览器无法解析php代码(把源码输出):原因,我之前用的是tomcat服务器写jsp,servlet,php用的是apache服务器,没有配 ...

  6. Java中static关键字用法总结

      1.     静态方法 通常,在一个类中定义一个方法为static,那就是说,无需本类的对象即可调用此方法 声明为static的方法有以下几条限制: · 它们仅能调用其他的static 方法. · ...

  7. 让IIS8支持WCF的最简单方法

    以前在IIS8中使用WCF时,总是参考在IIS8添加WCF服务支持这篇博文进行手工设置: 1. 首先添加MIME类型:扩展名“.svc”,MIME类型 “application/octet-strea ...

  8. 在R语言中封装类读写sql操作工具类

    1.mysql_helper.R # 使用RMySQL操作数据库 # 载入DBI和RMySQL包 library(DBI) library(RMySQL) mysql_con <- functi ...

  9. 20165330 2017-2018-2 《Java程序设计》第8周学习总结

    课本知识总结 第十二章 Java多线程机制 Java中的线程 进程:是程序的一次动态执行过程,它对应了从代码加载.执行至执行完毕的一个完整过程 线程:一个进程在其执行过程中,可以产生多个线程,形成多条 ...

  10. 多线程入门-第四章-线程的调度与控制之sleep

    /* sleep,阻塞当前线程,腾出CPU,让给其他线程 单位是毫秒 静态方法 */ public class ThreadTest04 { public static void main(Strin ...