如何修复对 Tomcat 中已拒绝的所请求资源的访问？

Question

我想通过使用数据库作为领域来启用基于表单的身份验证，但每当我尝试在 Tomcat 6 中以 Tomcat 管理员身份进行身份验证时，我总是收到该消息。我已经创建了一个表 user_name 和 user_roles 并将用户名（蓝色）映射到 admin和 manager 作为 mysql 中 user_roles 表中的角色，但我仍然无法进行身份验证。我已经在 server.xml 文件中重新创建了领域标记：

 <Realm className      = "org.apache.catalina.realm.JDBCRealm"
        debug          = "99" 
        driverName     = "com.mysql.jdbc.Driver"
        connectionURL  = "jdbc:mysql://localhost:3306/mail" 
        connectionName = "root" 
        userTable      = "users"
        userNameCol    = "user_name"
        userCredCol    = "user_pass"
        userRoleTable  = "user_roles" 
        roleNameCol    = "role_name" 
 /> 

任何人都可以告诉我我做错了什么，以及如何使用数据库启用基于表单的身份验证？

1. 我已将用户“blue”声明为管理员和经理，当我尝试登录 tomcat 管理器页面时，它向我显示以下消息：

   <块引用>

   HTTP 状态 403 - 对请求的资源的访问已被拒绝

2. 当我输入错误的用户名或密码时，tomcat 再次要求输入用户名和密码，而不是显示该消息。

Answer 1

HTTP 状态 403（对所请求资源的访问已被拒绝）可能表示您输入了太多不正确的凭据，或者您的配置存在问题。

一个可能的问题可能是您的浏览器可能会缓存您的身份验证凭据，因为使用 BASIC 身份验证，您的浏览器只会在您第一次对站点进行身份验证时提示您输入凭据。身份验证成功后，不会再次提示您并强制您的浏览器再次提示您，有时您需要完全关闭浏览器（或尝试使用其他网络浏览器）。

如果您没有更改任何配置文件，请检查安装中的文件 conf/tomcat-users.xml（locate tomcat-users.xml）。该文件必须包含允许您使用 Tomcat Web 应用程序的凭据。

例如，要将 manager-gui 角色添加到名为 tomcat 且密码为 s3cret 的用户，请将以下内容添加到上面列出的配置文件中：

<role rolename="manager-gui"/>
<user username="tomcat" password="s3cret" roles="manager-gui"/>

然后您可以访问您的来自 /manager/html 的 webapps 管理器（例如配置更改后重新加载）。

操作方法

了解更多信息：管理器应用程序 尝试实现您自己的安全约束（在 web.xml 中），请尝试以下示例（在 结尾之前添加它）：

<!-- This security constraint protects your webapp interface. -->
<login-config>
  <!-- Define the Login Configuration -->
  <auth-method>BASIC</auth-method>
  <realm-name>Webapp</realm-name>
</login-config>
<security-constraint>
  <web-resource-collection>
    <web-resource-name>Admin</web-resource-name>
    <url-pattern>/*</url-pattern>
    <http-method>GET</http-method>
    <http-method>POST</http-method>
  </web-resource-collection>
  <auth-constraint>
    <role-name>*</role-name>
  </auth-constraint>
  <!-- Specifying a Secure Connection -->
  <user-data-constraint>
    <!-- transport-guarantee can be CONFIDENTIAL (forced SSL), INTEGRAL, or NONE -->
    <transport-guarantee>NONE</transport-guarantee>
  </user-data-constraint>
</security-constraint>
<!-- Authorization, see: tomcat-users.xml --> 
<security-role>
  <role-name>*</role-name>
</security-role>

login-config 元素包含 auth-method 元素，它指定我们使用的身份验证方法，即 BASIC。 security-constraint 元素包含 3 个元素：web-resource-collection、auth-constraint 和 user-data-constraint< /代码>。 Web-resource-collection 指定了我们的应用程序中需要身份验证的部分。 /* 表示整个应用程序需要身份验证。 auth-constraint 指定用户访问受保护资源所需的角色。用户数据约束的传输保证可以是NONE、CONFIDENTIAL 或INTEGRAL。我们将其设置为NONE，这意味着当您尝试访问受保护的资源时不需要重定向到SSL。




还要确保您

<Realm className="org.apache.catalina.realm.MemoryRealm" />

的 conf/server.xml （Engine 部分）中有一行：。

如果您仍然遇到问题，请尝试：

• 检查您是否正在编辑正确的 XML 文件，
• 验证您的 XML 文件，例如 catalina.sh configtest 或 xmlstarlet val /etc/tomcat?/* .xml /var/lib/tomcat7/webapps/*/WEB-INF/*.xml，
• 您的 与您的 匹配; 或设置为 /*，
• 检查 Tomcat 日志（例如 /var/log/tomcat7），
• 提高中的日志记录级别（INFO -> FINE/FINEST） logging.properties 或 log4j.properties （INFO、SEVERE、WARNING、INFO、CONFIG、FINE、FINER、FINEST 或 ALL），重新启动 Tomat 并检查日志，
• 如果日志中没有任何内容，检查您是否检查了正确的日志（sudo lsof | grep -E "java.*(out|txt|log)$"、tail -f /var/log/tomcat7/ *.log /var/log/tomcat7/*.txt /var/log/tomcat7/*.out)，
• 使用 log4j 日志系统时，请确保 通过将库和 log4j.properties 放入正确的文件夹并配置它来正确初始化，

• 测试 BASIC 身份验证与卷曲：

  • 没有凭据：

    $curl -vv http://example.com:8983/solr/
    

    通常请求应返回HTTP/1.1 401 Unauthorized，并且“WWW-Authenticate”标头应指示需要基本身份验证。 p>

  • 带有凭据：

    $curl -vv -u tomcat:tomcat http://example.com:8983/solr/
    

    请求应使用“Authorization”标头发送，并且应进行身份验证。如果您的凭据无效，您应该得到：HTTP/1.1 401 Unauthorized。如果用户已通过身份验证，但无权查看资源，您应该得到：HTTP/1.1 403 Forbidden。

• 可能由于失败的身份验证尝试次数过多而激活了用户锁定机制（LockOutRealm)，

• 手动停止并运行 Tomcat（与中的方式相同） : ps wuax | grep ^tomcat)，例如：

  <前><代码># ps wuax | grep ^tomcat
  tomcat7 884 /usr/lib/jvm/java-7-openjdk-amd64/bin/java -Djava.util.logging.config.file=/var/lib/tomcat7/conf/logging.properties ... org.apache。 catalina.startup.Bootstrap启动
  $ /etc/init.d/tomcat7 停止
  $ sudo sudo -u tomcat7 /usr/lib/jvm/java-7-openjdk-amd64/bin/java ... -Dorg.apache.catalina.level=FINEST org.apache.catalina.startup.Bootstrap 启动

  或者开始使用 catalina.sh 脚本，例如：

  <前><代码>$ . /etc/默认/tomcat7
  $ 导出 JAVA_HOME=/usr/lib/jvm/java-7-openjdk-amd64 CATALINA_HOME=/usr/share/tomcat7 CATALINA_BASE=/var/lib/tomcat7 CATALINA_PID=/var/run/tomcat7.pid CATALINA_TMPDIR=/tmp LOGGING_CONFIG= “-Dorg.apache.catalina.level=最好的”
  $ /usr/share/tomcat7/bin/catalina.sh 运行

  或者在调试模式：

  $ JPDA_SUSPEND=y catalina.sh jpda 启动
  

  并检查您的catalina.out日志。

• 最后的手段是通过以下方式调试进程：sudo strace -fp PID。

Answer 2

您需要定义另一个名为“tomcat”的用户角色，并使用户“blue”成为该组的成员。

您可以在 web.xml 文件中更改此约束所需的角色组名称：

<auth-constraint>
    <role-name>tomcat</role-name>
</auth-constraint>

Answer 3

当我使用 BASIC 身份验证时，我收到了相同的错误“HTTP 状态 403 - 对请求的资源的访问已被拒绝”，而不是弹出窗口。我使用了自定义角色（我的名字），但它不起作用。因此，我将角色设置为（manager-gui）并为其分配用户名和密码。设置后我得到了所需的结果。使用 manager-gui 作为角色，然后重试。

Answer 4

我自己没试过这个。您可以尝试更改 TOMCAT_HOME_DIR\webapps\manager\WEB-INF\web.xml 中的身份验证方法，将身份验证方法设置为 FORM。领域名称并不重要。

<login-config>   <auth-method>FORM</auth-method>   <realm-name>Tomcat Manager Application</realm-name> </login-config>

另外只需确认 - 您必须在 server.xml 中仅保留一个 Realm，注释掉默认的 Realm。