標準規程配售JSP

Question

是它有效，標準和最佳實踐放置

• 公開訪問的網頁是WEB-INF文件夾，例如

  外

  index.jsp, home.jsp, store.jsp, login.jsp, registration.jsp... and

• 像

  admin.jsp, reports.jsp, manageusers.jsp, manageproducts.jsp...

  保護的頁面是用於安全原因WEB-INF文件夾（不能通過URL直接訪問）的內部通過創建控制器的servlet訪問它們

• 和用於包括像

  navigation.jsp, header.jsp, footer.jsp, sitemap.jsp...

  在特別保護目錄爲不被從URL直接訪問？

Answer 1

這聽起來有點像某人正在進行辯論，並希望打破平局？ :)

這可能被切成千方式......但我個人不會描述將它們放置在WEB-INF中的目的是出於安全原因，純粹是因爲您不希望用戶直接訪問這些資源，出於各種原因。

您可能會將WEB-INF用作安全基礎架構的一部分，但我不會說這是標準的最佳實踐。安全性應該從請求級別開始，然而您將這些資源交付給用戶則由您決定 - WEB-INF不是「解決方案」，也不是「需要」的。

在WEB-INF之外放置可訪問的資源......當然，爲什麼不呢？

不同的框架可能會讓您將所有資源放在WEB-INF中，並通過各種控制器/過濾器/ serlvet機制讓它們可訪問，但這僅僅是框架的一個屬性，不應該讓您相信在WEB-INF之外放置資源是一個禁忌。

Answer 2

1. 當您將JSP頁面WEB-INF，Servlet容器的默認小服務程序（如Tomcat）的「外」將檢查URL，調用JSP和回送響應瀏覽器。當你把它放在WEB-INF中，然後你編寫你自己的Servlet（Controller），它檢查URL和某種邏輯，轉發/重定向到JSP。

一個很好的安全層（可能基於一個過濾器）將實現安全性，將照顧以上兩種情況。因爲，你真的希望你的默認Servlet被未經授權的人「調用」嗎？

據我所知，最佳實踐是在您的「WebContent」文件夾中創建一個名爲「public」的文件夾，並在其中僅放入不安全的內容。你的過濾器應該檢查每個URL請求到你的服務器/*並採取相應的行動。

此外，另一個最佳實踐絕不會讓任何URL以「.jsp」結尾。即使是像「歡迎」或「登錄」或「退出」應該由你自己SecurityFilter類+ DisplayController處理

例子：

WebContent 

--public 
----css 
------main.css 
----images 
------logo.png 
----js 
------common.js 
--private 
----js 
------ui_handler.js 
--WEB-INF 
----classes 
----jsp