拒绝 j_security_check 上的 GET 方法

Question

有没有办法只允许对 j_security_check 的 POST 请求？我想拒绝 GET。 我正在使用基于表单的安全性，并且只想允许帖子到 j_security_check。如果通过 GET 发出登录请求，则该请求应被拒绝。

Answer 1

由于使用 GET 方法的 JAAS 的安全问题，我一直尝试在 JBOSS（Tomcat）服务器上执行相同的操作，我尝试了各种方法。

1. 在 url 模式 /j_security_check 上使用 web.xml 安全约束以仅使用 POST - 这对于 JAAS 机制不起作用，因为它对于普通 servlet 会起作用。

2. 将登录详细信息从登录页面传递到检查请求方法的中间 servlet，如果不是 GET，则转发到 j_security_check。 - 这不起作用，而且过于复杂。

3. 过滤器来检查请求方法并仅调用 j_security_check 的 POST 消息 - 这不起作用，因为 JAAS 在 Web 容器中更深，并且在过滤器机制之前被调用。

4. 创建一个 Valve，它会在 JAAS 之前被调用。

通过在调用方法中添加以下内容：

HttpServletRequest req = (HttpServletRequest) request;
if (req.getMethod().equals("GET")) {
 log.warn("Someone is trying to use a GET method to login!!");                       
 request.getRequestDispatcher("/login.jsp").forward(req, response);
 throw new ServletException("Using a GET method on security check!");
}

这确实有效。

Answer 2

是的，您可以拒绝 GET 请求。在 web.xml 文件的安全约束部分中，您可以指定允许的 http 方法。在以下 xml 中，此安全约束允许的唯一方法是 POST 方法。 j_security 检查将只允许 post 方法。

<security-constraint>
  <display-name>Your security constraint</display-name>
  <web-resource-collection>
     <web-resource-name>Your resource name</web-resource-name>
     <url-pattern>/The URL pattern</url-pattern>
     <http-method>POST</http-method>
  <web-resource-collection>
<security-constraint>

Answer 3

您需要重新表述您的问题。

j_security 检查通常用在登录页面。

如果您请求安全资源并且未经身份验证，您将自动重定向到登录页面（假设应用程序配置为使用基于表单的安全性）。

如果您的资源不应受到 GET 请求的质询，请遵循 Doug 提到的内容。例如，如果您想保护对 myaccount（Servlet 的模式）的 POST 调用，那么仅当进行 HTTP Post 时您才会被重定向到登录页面，而即使没有用户身份验证，GET 请求也会被接受。

这意味着您希望允许经过身份验证的用户访问 POST 请求，同时允许所有人访问 GET 请求。

Answer 4

我正在考虑实施的另一种方法：

• 在反向代理/负载平衡器（如 nginx/apache

） 中阻止除 POST 请求之外的所有 j_security_check 请求在 Apache 2.4 上，这是可行的：

<LocationMatch ".*j_security_check">
    AllowMethods POST
</LocationMatch>

• 如果我需要更多自定义，我可以使用 HttpServletRequest.login(...)