Java EE WEB-INF安全

Question

我有一個非常基本的登錄表單，它接受用戶名和密碼。當提交數據時，控制器類實質上會驗證用戶名和密碼，如果證書正確，則用戶將被轉發到位於java EE項目的WEB-INF中的membersOnly.jsp。由於WEB-INF中的內容只能通過轉發訪問，而不能重定向，因此我認爲有人可以訪問這些信息的唯一方式是通過服務器端轉發。

我的問題是，這種方法有多安全，我應該使用其他形式的安全性？

Answer 1

你使用某種基於定製的身份驗證，但Java EE Standards定義了幾種認證機制：

• HTTP基本身份驗證
• 基於表單的認證
• HTTPS客戶端認證

使用基於表單的身份驗證，您仍然可以使用您的自定義表單，並將密碼驗證委託給Java EE容器。幾乎每個供應商都提供針對LDAP服務器，數據庫表和其他存儲庫的憑證驗證。

Answer 2

大多數容器將爲您處理驗證。例如，使用Glassfish，您可以簡單地告訴容器哪個數據庫表包含用戶和密碼。

它會爲你做其餘的。

您還可以讓容器控制訪問不同的頁面。

希望這會有所幫助。