Tomcat 有效用户的安全约束

Question

我试图保护 tomcat 中的资源，以便只有“有效用户”（在领域中具有有效登录名和密码的用户）才能访问它。 他们不一定属于领域内的某个群体。 我尝试了 指令的多种组合，但没有成功。 有任何想法吗？

Answer 1

除了您要添加到安全约束中的身份验证约束之外：

   <auth-constraint>
       <role-name>*</role-name>
   </auth-constraint>

您还需要在网络应用程序中指定安全角色：

    <security-role>
        <role-name>*</role-name>
    </security-role>

Answer 2

tomcat中有多种领域实现——内存、数据库、JAAS等等。 最容易配置（尽管不是最安全）的内存配置，它包含单个 XML 文件，通常位于 conf/tomcat-users.xml 下：

<tomcat-users>
  <user name="tomcat" password="tomcat" roles="tomcat" />
  <user name="role1"  password="tomcat" roles="role1"  />
  <user name="both"   password="tomcat" roles="tomcat,role1" />
</tomcat-users>

领域配置位于上下文、主机或引擎配置下，如下所示

<Realm className="org.apache.catalina.realm.MemoryRealm"
       pathname="conf/tomcat-users.xml" />

： ，在 web.xml 中添加以下定义：

    <security-constraint>
            <web-resource-collection>
                    <web-resource-name>MRC Customer Care</web-resource-name>
                    <url-pattern>/protected/*</url-pattern>
            </web-resource-collection>
            <auth-constraint>
                    <role-name>role1</role-name>
            </auth-constraint>
    </security-constraint>

    <!-- Define the Login Configuration for this Application -->
    <login-config>
            <auth-method>DIGEST</auth-method>
            <realm-name>YOUR REALM NAME</realm-name>
    </login-config>

    <security-role>
            <description>
              The role that is required to access the application. 
              Should be on from the realm (the tomcat-users.xml file).
            </description>
            <role-name>role1</role-name>                  
    </security-role>

web.xml 部分取自我们的一个 Web 应用程序（略有更改）。

Answer 3

如果我们使用 Tomcat 8.x ，因为提供的 server.xml 将出现在嵌套的 Realm 元素中，请在“最外面”的 Realm 元素中添加 'allRolesMode="authOnly"' 并更改上述 web.xml 进行测试。
例如，

  <Realm allRolesMode="authOnly" className="org.apache.catalina.realm.LockOutRealm">
    <!-- This Realm uses the UserDatabase configured in the global JNDI
         resources under the key "UserDatabase".  Any edits
         that are performed against this UserDatabase are immediately
         available for use by the Realm.  -->
    <Realm className="org.apache.catalina.realm.UserDatabaseRealm"
           resourceName="UserDatabase" />
  </Realm>

请阅读 org.apache.catalina.realm.RealmBase.java 了解详细信息。

此外，logging.properties 中的以下设置也很有用。

org.apache.catalina.realm.level=ALL
org.apache.catalina.realm.useParentHandlers=true
org.apache.catalina.authenticator.level=ALL
org.apache.catalina.authenticator.useParentHandlers=true