Struts2 编写安全策略（四十五）

最新推荐文章于 2024-10-17 10:27:13 发布
最新推荐文章于 2024-10-17 10:27:13 发布
阅读量198 收藏
点赞数
分类专栏： struts 文章标签： web.xml java
编写安全策略 包含（1保护资源，2指定登录方法）

----保护资源 

   在web应用程序中保护资源 ，需要在web.xml文件中配置<security-constraint>元素,该元素的语法定义如下:
<!ELEMENT security-constraint(display-name?,web-resource-collection+,auth-constraint?,user-data-constraint?)>

上述语法定义的含义如下:
display-name? :包含的是xml编辑器显示的名称.可选的 ,最多只有一个
web-resource-collection+:可选的 ,一个或多个
auth-constraint?:可选  最多一个
user-data-constraints?: 可选 最多一个


[b][color=red]---<web-resource-collection>元素可以包含如下几个子元素-----[/color][/b] 

   <web-resource-name>:用来标识一个资源  (这个必须,下面可选)
   <discription>:用来对资源进行描述 
   <url-patter>:用来定义个URL模式,所有与这个URL模式相匹配的URL地址的资源都将受到保护. (可以是 0个 或 多个)
   <http-method>:用来定义受限制的HTTP请求方法.例如设置其值为POST,则POST 请求方法将受到限制.


[b][color=red]---<auth-constraint>元素可以包含的几个子元素-----[/color][/b] 

  <role-name>:用来指定允许访问受保护资源的角色,可以配置多个. (0个或多)
  <discription>:用啦定义描述信息. (可选)


[b][color=red]---<user-data-constraint>元素可以包含的子元素---[/color][/b] 

  description:定义描述信息
  transport-guarantee:用来定义数据传输的保护形式.
    有如下可选值:
    integral:表示web应用程序在传输数据时,必须保证数据在传输过程中不被修改.
   confidential:表示web应用程序在传输数据时,必须对传输的数据加密.
   none:表示web应用程序在传输数据时,不做任何额外保护.

web.xml 

<?xml version="1.0" encoding="UTF-8"?>
<web-app version="2.5" 
	xmlns="http://java.sun.com/xml/ns/javaee" 
	xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance" 
	xsi:schemaLocation="http://java.sun.com/xml/ns/javaee 
	http://java.sun.com/xml/ns/javaee/web-app_2_5.xsd">
 <filter>
 	<filter-name>struts2</filter-name>
 	<filter-class>org.apache.struts2.dispatcher.ng.filter.StrutsPrepareAndExecuteFilter</filter-class>
 </filter>
 <filter-mapping>
 	<filter-name>struts2</filter-name>
 	<url-pattern>/*</url-pattern>
 </filter-mapping>

 <!-- 编写安全策略 -->
 <security-constraint>
 	<web-resource-collection>
 		<web-resource-name>Admin</web-resource-name>
 		<description>nobody but admin</description>
 		<url-pattern>/admin/*</url-pattern>
 	</web-resource-collection>
 	<!-- 指定可以访问的角色  -->
 	<auth-constraint>
 		<role-name>admin</role-name>
 	</auth-constraint>
 </security-constraint>

 <!-- 定义安全角色 -->
 <security-role>
 	<role-name>admin</role-name>
 </security-role>


  <welcome-file-list>
    <welcome-file>index.jsp</welcome-file>
  </welcome-file-list>
</web-app>

然后在 WebRoot\admin\test.jsp 

  <body>
    security-constraint:test.jsp
  </body>

发现访问 http://localhost:8080/Struts2-token/admin/test.jsp 出现 401错误 而 如果不配置安全策略 则可以直接访问 admin/test.jsp

[b][color=red]---指定登录方法---[/color][/b] 

    在上面的示例中,将admin文件夹下面的所有资源都列为保护资源,只允许角色为admin的用户进行访问.那么,如果判断用户角色是否是admin呢?或者说 用户如何让程序知道自己的角色是admin?这时候  我就需要对用户的登录方法进行定义,也就是给出用户证明身份的渠道.
  在web中,定义用户的的登录方法,是通过web.xml文件中使用<login-config>元素进行配置的 语法如下:
<!ELEMENT login-config (auth-method?,realm-name?,form-login-config?)>

<auth-method>:用来指定用户身份验证的方法,可选值有:基本方式(BASIC),基于摘要方式(DIGEST),基于表单方法(FORM),SSl(Secure Socket Layer)方式和基于客户证书方法(CLIENT-CRET).

<realm-name>:用来定义一条提示信息.如果使用BASIC身份验证,提示信息建显示在标准的登录对话框中.

<form-login-config>:用来指定一个登录页面,以及一个身份验证失败时的错误页面,该元素在<auth-method>元素的FORM是使用才有意义.


[b][color=red]---基表身份验证方法 (BASIC)----[/color][/b]
struts.xml 

<action name="test">
			<result name="success">/admin/test.jsp</result>
		</action>


wem.xml 在上面的web.xml中加入下面的配置 

<!-- 使用基本身份验证方法 BASIC -->

  <!-- 安全策略 -->
 <security-constraint>
 	<web-resource-collection>
 		<web-resource-name>Admin</web-resource-name>
 		<url-pattern>/test.action</url-pattern>
 	</web-resource-collection>
 	<!-- 指定可以访问的角色  -->
 	<auth-constraint>
 		<role-name>admin</role-name>
 	</auth-constraint>
 </security-constraint>
 <!-- 定义用户的的登录方法 -->
 <login-config>
 	<!-- 指定用户身份验证的方法 -->
 	<auth-method>BASIC</auth-method>
 	<!-- 用来定义一条提示信息 -->
 	<realm-name>taobao</realm-name>
 </login-config>



然后在 C:\apache-tomcat-6.0.20\apache-tomcat-6.0.20\conf 下的
tomcat-users.xml 加上 role 和 user 的配置 

<tomcat-users>
<role rolename="admin"/>
<user username="iteye" password="10101" roles="admin"/>
</tomcat-users>


//访问上面的 地址
--http://localhost:8080/Struts2-token/test.action
输入 iteye 10101 就可以看到正式 /admin/test.jsp 的内容了

[b][color=red]---Struts2 的安全配置---[/color][/b] 

  在Struts2应用中,大多数用户请求都需要经过Action,所以Struts2的安全配置应该针对Action,如果需要限制所有Action访问,只需要在web.xml文件中将.action结尾的所有请求全部配置为受保护资源即可.
 <url-pattern>*.action</url-pattern>
在web.xml文件中对所有的.action结尾的用户进行身份限制

在Strut2应用中,可以通过Roles拦截器去指定那些角色可以访问指定的Action动作.Roles拦截器有如下几个参数:

allowedRoles: 设置允许访问指定Action动作的角色,多个角色之间使用英文状态的逗号(,)隔开.

disaledRoles:设置不允许访问指定Action动作的角色,多个角色之间使用英文状态的逗号(,)隔开

<action name="useRoles">
  <interceptor-ref name="roles">
      <param name="allowedRoles">admin</param>
  </interceptor-ref>
  <result name="success">/success.html</result>


[b][color=red]--getAuthType()方法---[/color][/b] 

   getAuthType()方法用来返回身份验证方法的名称,该方法有如下几个返回值:BASCI FORM CLIENT_CERT DIGEST 如果用户灭有通过身份验证该方法返回null


package com.sh.action;

import javax.servlet.http.HttpServletRequest;

import org.apache.struts2.ServletActionContext;

import com.opensymphony.xwork2.ActionSupport;

public class AuthType extends ActionSupport {

	@Override
	public String execute() throws Exception {
		HttpServletRequest request=ServletActionContext.getRequest();
		String methodName=request.getAuthType();
		System.out.println(methodName);
		return SUCCESS;
	}

}

struts.xml 

<action name="authType" class="com.sh.action.AuthType">
	<result name="success">/success.html</result>
</action>

web.xml 加入下面的配置 

<security-constraint>
	<web-resource-collection>
		<web-resource-name>Admin2</web-resource-name>
		<url-pattern>*.action</url-pattern>
	</web-resource-collection>
	<auth-constraint>
		<role-name>admin</role-name>
	</auth-constraint>
</security-constraint>


--访问
---http://localhost:8383/Struts2-token/authType.action


[b][color=red]---isUserInRole()--------[/color][/b]
判断已经通过身份验证的用户 所拥有的角色 

package com.sh.action;

import javax.servlet.http.HttpServletRequest;

import org.apache.struts2.ServletActionContext;

import com.opensymphony.xwork2.ActionSupport;

public class UserInRole extends ActionSupport {

	@Override
	public String execute() throws Exception {
		// TODO Auto-generated method stub
		HttpServletRequest request=ServletActionContext.getRequest();
		boolean flag1=request.isUserInRole("admin");
		System.out.println("登录用户是否拥有admin角色:"+flag1);
		return SUCCESS;
	}

}

struts.xml 

<action name="userInRole" class="com.sh.action.UserInRole">
			<result name="success">/success.html</result></action>


[b][color=red]--getUserPrincipai()方法---[/color][/b]
获取登录的用户名 

package com.sh.action;

import javax.servlet.http.HttpServletRequest;

import org.apache.struts2.ServletActionContext;

import com.opensymphony.xwork2.ActionSupport;

public class UserPrincipai extends ActionSupport {

	@Override
	public String execute() throws Exception {
		//获取 通过身份验证的用户名
		HttpServletRequest request=ServletActionContext.getRequest();
		String userName=request.getUserPrincipal().getName();
		System.out.println(userName);
		userName=request.getRemoteUser();
		System.out.println(userName);
		return SUCCESS;
	}
}



<action name="userPrincipai" class="com.sh.action.UserPrincipai">
			<result name="success">/success.html</result>
		</action>
麻辣小布叮
关注
专栏目录
struts2安全漏洞修复
04-21
2. 配置安全策略：禁用不必要的插件和功能，特别是与OGNL相关的配置。例如，可以禁用`struts2-convention-plugin`和`struts2-ognl-plugin`，或者限制OGNL表达式的执行。 3. 使用过滤器：在Web应用的部署描述符（如...
WebIM-for-Struts2 v1.0
10-06
综上所述，WebIM-for-Struts2 v1.0项目涵盖了Struts2框架的使用、WebSocket的集成、前端开发、数据库设计、安全策略以及性能优化等多个方面，为开发者提供了在Struts2环境中实现即时通讯功能的完整解决方案。...
刨根问底-struts2应用策略模式（Strategy）分析
02-28 146
定义：基本含义是针对一组算法或者行为特性，将他们抽象到具有共同接口函数的独立抽象类后者接口中，从而使得他们可以相互替换。这样就使得某一个特定的接口行为可以在不影响客户端的情况下发生变化。 类型：行为类模式 类图： 策略模式是对算法的封装，把一系列的算法分别封装...
Struts 2应用程序安全功能的配置详解
weixin_33806914的博客
12-06 88
安全性是Web应用程序开发工作中最关键的问题之一。在基于servlet的应用程序里，保护应用程序资源的办法有两种：一是对应用程序进行配置(web.xml)，二是使用Java代码硬编码到程序中。前一种方法使用配置文件，该方法很灵活，这是因为通过使用配置文件，无需改写任何代码就可以改变安全策略，是一种常见的手段。而Struts 2是基于servlet技术的，所以Struts 2的...
web.xml中security-constraint配置测试
孤城幻夜
10-24 3841
https://blog.csdn.net/tc2015/article/details/51774454
web.xml中security-constraint安全认证标签说明
热门推荐
u012045045的博客
01-23 1万+
在做web项目时由于想给webRoot下的jsp文件进行安全保护，控制不允许直接对jsp的访问，于是找到了tomcat的安全认证机制，只需要在web.xml中进行一定的配置即可，非常方便。 1.因为使用了SpringMVC，这里先给出SpringMVC配置文件中的视图解析器配置 &lt;bean class="org.springframework.web.servlet.view.Inte...
struts2讲解
woaini886353的博客
04-24 1万+
Struts2部分 1.JavaEE软件三层结构和MVC的区别？ JavaEE软件三层机构是由sun公司提供JavaEE开发规范的：Web层(表现层)、业务逻辑层、数据持久层。【其中WEB层会使用前端控制器模式】 MVC是一种思想，是一种模式，将软件分为Model模型、View视图、Controller控制器。【JavaEE开发更强调三层结构，web层开发更注重MVC】 Struts2就是web层开发框架，符合MVC模式；struts1、webwork、jsf、SpringMVC都是MVC...
BBS.rar_struts2 bbs_struts2 mysql bbs_struts2 论坛
09-24
5. **安全性考虑**：Struts2虽然强大，但也有安全风险，比如著名的Struts2漏洞（如CVE-2017-5638）。开发者需要时刻关注官方的安全更新，及时修复漏洞。同时，应使用预编译SQL防止SQL注入攻击，并确保密码等敏感信息...
Struts2框架安全缺陷.pdf
10-05
然而，如同任何复杂软件系统一样，Struts2也存在一些安全缺陷，这些缺陷可能导致严重的安全问题，如SQL注入、跨站脚本（XSS）攻击等。 Struts2的安全问题主要集中在两个方面：框架本身的缺陷和开发者在使用框架时的...
Struts2漏洞利用工具Devmode版
10-26
同时，安全工作不仅仅是检测漏洞，还包括定期更新框架和依赖，以及制定和执行严格的安全策略。 总之，"Struts2漏洞利用工具Devmode版"是网络安全领域的重要工具，它帮助我们识别并解决Struts2框架的潜在风险，提升...
web.xml配置文件的dtd（http://java.sun.com/dtd/web-app_2_3.dtd）
我的空间
10-07 1万+
DO NOT ALTER OR REMOVE COPYRIGHT NOTICES OR THIS HEADER.Copyright 2000-2007 Sun Microsystems, Inc. All rights reserved.The contents of this file are subject to the terms of either the GNUGeneral P
java中使用ssl和基于表单的验证策略出错
淡漠黑白
11-11 1438
java中使用ssl和基于表单的验证策略出错   我在使用ssl和基于表单的验证策略时出现，出现如下的异常： HTTP Status 400 - Invalid direct reference to form login page type Status report message Invalid direct reference to form login page
Servlet
weixin_67804833的博客
10-13 1053
见名知意，是会话的意思。Session会以对象的形式占用服务器端的内存，过多的以及长期的消耗内存会降低服务器端的运行效率，所以Session对象存在于内存中时会有默认的时间限制，一旦Session对象存在的时间超过了这个缺省的时间限制则认为是Session超时，Session会失效，不能再继续访问。只要浏览器已关闭，就消失。有的时候，需要将浏览器与服务器之间的多次交互(请求和响应)看成一个整体(同一个用户的多次请求)，并将多次交互时所涉及的数据(即状态)保存下来，提供给后续的交互进行数据的管理即状态管理。
基于SSM班级事务管理系统的设计
2401_87849773的博客
10-15 376
管理员账户功能包括：系统首页，个人中心，学生管理，班委管理，班会组织管理，健康档案管理，党员发展管理，党员培训管理，学生成绩管理。主要技术：Java,Spring,mybatis,mysql,jquery,html。班委账号功能包括：系统首页，学生管理，学生成绩管理，活动信息管理，班费通知管理。服务器：SpringBoot自带 apache tomcat。JDK版本：Java JDK1.8。数据库可视化工具： navicat。数据库版本： mysql5.7。开发系统：Windows。
Java安卓开发之Fragment开发（通俗易懂版）——第8章
一个脚本小子的博客
10-13 679
FragmentManager中的getSupportFragmentManager()方法不支持Activity，不论是旧版的FragmentManager还是新版的，因此我们要把继承Activity类改成继承AppCompatActivity类。
JavaWeb合集05-SpringBoot基础知识
最新发布
qq_57340195的博客
10-17 679
Autowrite ：自动装配，通过声明的数据类型来装配对应的bean对象。缺点，只能获取到一个相同类型的bean对象，如果有IOC容器里面有2个Bean对象，使用@Autowrite依赖注入就好报错。由于三层架构中，每一层都需要下次成来提供对应的方法，所有要new 下一次的对象，如果上一层的类名发送改变，那么上一层就需要修改对应的类名，如下。3、@Resource注解：通过它来代替@Autowrite注解，直接指定要注入的Bean对象，参数name的值就是要注入的Bean对象。
确保Spring Boot定时任务只执行一次方案
2301_76419561的博客
10-14 441
确保Spring Boot定时任务只执行一次有多种方法，你可以根据实际需求选择最适合的方法。如果你需要更复杂的任务调度或周期性执行，@Scheduled注解和接口是更合适的选择。而对于一次性的初始化任务或应用程序启动任务，注解和实现接口则更为简洁明了。
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值