为tomcat页面设置访问权限

在web应用中，对页面的访问控制通常通过程序来控制，流程为：
登录 -> 设置session -> 访问受限页面时检查session是否存在，如果不存在，禁止访问

 

对于较小型的web应用，可以通过tomcat内置的访问控制机制来实现权限控制。采用这种机制的好处是，程序中无需进行权限控制，完全通过对tomcat的配置即可完成访问控制。

 

为了在tomcat页面设置访问权限控制，在项目的WEB-INFO/web.xml文件中，进行如下设置：

web.xml

<?xml version="1.0" encoding="ISO-8859-1"?> <!DOCTYPE web-app     PUBLIC "-//Sun Microsystems, Inc.//DTD Web Application 2.3//EN"     "http://java.sun.com/dtd/web-app_2_3.dtd"> <web-app> <security-constraint>     <web-resource-collection>       <web-resource-name>Protected Area</web-resource-name>       <url-pattern>/*</url-pattern>       <http-method>GET</http-method>       <http-method>POST</http-method>     </web-resource-collection>     <auth-constraint>       <role-name>student</role-name>  <role-name>tomcat</role-name>     </auth-constraint> </security-constraint> <login-config>     <auth-method>FORM</auth-method>     <realm-name>Default</realm-name>     <form-login-config>       <form-login-page>/logon.jsp</form-login-page>       <form-error-page>/error.jsp</form-error-page>     </form-login-config> </login-config> <security-role>     <role-name>student</role-name> </security-role> </web-app>

其中，<url-pattern>中指定受限的url，可以使用通配符*，通常对整个目录进行访问权限控制。
<auth-constraint>中指定哪些角色可以访问<url-pattern>指定的url，在<role-name>中可以设置一个或多个角色名。

使用的角色名来自tomcat的配置文件${CATALINA_HOME}/conf/tomcat-users.xml。

 

<login-config>中设置登录方式，<auth-method>的取值为BASIC或FORM。如果为BASIC，浏览器在需要登录时弹出一个登录窗口。如果为FORM方式，需要指定登录页面和登录失败时的提示信息显示页面。

logon.jsp
error.jsp

<%@ page import="java.util.*" %> <center> <form action="j_security_check" method=post> <table> <tr>    <td align="center" >    <table border="0">    <tr>    <td><b>USERNAME:</b></td>    <td>       <input type="text" size="15" name="j_username">    </td>    </tr>    <tr>    <td><b>Password:</b></td>    <td>       <input type="password" size="15" name="j_password">    </td>    </tr>    <tr>    <td></td>    <td align="right">    <input type="submit" value="Submit">    </td>    </tr>    <tr>    <td><br></td>    </tr> </table> </td> </tr> </table> </form> </center>

<%@ page import="java.util.*" %> <h2>Login Error</h2>

有了web.xml,logon.jsp和error.jsp这三个文件后，就可以看看有什么效果了。

可以在tomcat下新建一个application:

security
|
-logon.jsp
-error.jsp
-WEB-INF
     |
     -web.xml

在浏览器上输入地址：http://localhost:8080/security

就可来到登陆界面。输入用户名：tomcat，密码：tomcat即可登陆啦。