Tomcat 7 - 多个安全约束不起作用

Question

运行 Tomcat 7，我尝试在 Tomcat 服务器上配置 /conf/web.xml，以通过基本身份验证保护某些 URL，并提供其他一些 URL 供公共访问。

tomcat-users.xml 包含以下角色和用户：

<role rolename="test-ui"/>
<user username="paul" password="password" roles="test-ui"/>

我已将以下部分添加到 Tomcats /conf/web.xml

<security-constraint>
   <web-resource-collection>
     <web-resource-name>Public access</web-resource-name>
     <url-pattern>/docs/*</url-pattern>
   </web-resource-collection>
</security-constraint>

<security-constraint>
    <web-resource-collection>
        <web-resource-name>Protected access</web-resource-name>
        <url-pattern>/*</url-pattern>
    </web-resource-collection>
    <auth-constraint>
        <role-name>test-ui</role-name>
    </auth-constraint>
</security-constraint>

<security-role>
    <description>Protected access</description>
    <role-name>test-ui</role-name>
</security-role>

<login-config>
    <auth-method>BASIC</auth-method>
</login-config>

所以有两个“security-constraint”元素，公共元素不包含“auth-constraint”，这实际上意味着，不需要进行身份验证。

当我打开网址时 http://localhost:8080

Tomcat 要求身份验证。 这很好，但是当我打开 URL 时 http://localhost:8080/docs/

Tomcat 还要求进行身份验证，据我了解，这被配置为“非安全”URL - 因此可以公开访问，但它的行为并非如此。

我的配置出了什么问题，还是这个场景不应该这样工作？

谢谢。 保罗

Answer 1

您需要中的节点，即使它是空的，例如；

Answer 2

如果不存在安全约束，容器必须允许对这些 URL 进行未经身份验证的访问。安全约束是可选的。