jsp安全性问题,当别人知道某个jsp文件的网址后就可以跳过登陆页面直接访问该jsp文件了,这样无法禁止外部无权限用户的访问。本文讨论内容是通过权限验证的用户,才可以访问特定的页面。
JSP 页面验证,涉及到的知识有Session, 网页权限, 用户验证等。
session对象
session对象用来存储有关用户会话的所有信息,一个会话就是浏览器与服务器之间的一次通话,它包含浏览器与服务器之间的多次请求、响应过程。session是JSP内置对象,与浏览器一一对应,允许用户存储和提取会话状态的信息,信息保存在服务器端。session信息获取1) JSPsession.setAttribute("userinfo", USERNAME);// session保存登录信息和用户名2) Java(Servlet)request.getSession().setAttribute("userinfo", USERNAME); // session保存登录信息和用户名其中,request为HttpServletRequest对象,在doPost(HttpServletRequest request, HttpServletResponse response){...}引用session超时设置1) web.xml...302) Javarequest.getSession().setMaxInactiveInterval(30*60);// 设置session失效时间(timeout),单位为秒注:setMaxInactiveInterval() 比 web.xml 优先级高,如果两者同时设置则采用setMaxInactiveInterval()JSP 网页权限JSP 网页权限,有两种配置方式:1) include 文件如: 验证文件logincheck.jsp
if(session.getAttribute("userinfo") == null) {
%>
");
out.flush();
out.close();
// request.setAttribute("loginError", "您还没有登录,请登录...");
// request.getRequestDispatcher("userlogin.html").forward(request, response);
} else {
arg2.doFilter(request, response);
}
}
@Override
public void destroy() {
}
}用户登录验证用户登录验证,有两种方式:JSP网页前端和Java(Serlvet)后台1) JSP网页前端验证(login.jsp)
String USERNAME = "admin";
String USERPWD = "123456";
request.setCharacterEncoding("utf8");
String userName = request.getParameter("username").trim();
String userPwd = request.getParameter("userpwd").trim();
if(userName == null || userPwd == null){
response.sendRedirect("userlogin.html");
return;
}
if(userName.equals(USERNAME) && userPwd.equals(USERPWD)) {
session.setMaxInactiveInterval(30*60); // 设置session失效时间(timeout),单位为秒
session.setAttribute("userinfo", USERNAME); // 用户名和密码正确,保存登录信息
response.sendRedirect("page111.jsp");
} else {
response.sendRedirect("userlogin.html"); // 用户名和密码错误,跳转到登录界面
}
%>2) Java(Serlvet)后台验证(Login.java)public class Login extends HttpServlet {
private static final long serialVersionUID = 1L;
private final static String USERNAME = "admin";
private final static String USERPWD = "123456";
@Override
protected void doGet(HttpServletRequest request, HttpServletResponse response) {
}
@Override
protected void doPost(HttpServletRequest request, HttpServletResponse response) throws ServletException, IOException {
request.setCharacterEncoding("utf-8");
String userName = request.getParameter("username").trim();
String userPwd = request.getParameter("userpwd").trim();
if(userName == null || userPwd == null) {
response.sendRedirect("userlogin.html");
}
if(userName.equals(USERNAME) && userPwd.equals(USERPWD)) {
request.getSession().setMaxInactiveInterval(30*60); // 设置session失效时间(timeout),单位为秒
request.getSession().setAttribute("userinfo", USERNAME); // 用户名和密码正确,保存登录信息(获得session与jsp网页稍有不同)
response.sendRedirect("page111.jsp");
} else {
response.sendRedirect("userlogin.html"); // 用户名和密码错误,跳转到登录界面
}
}
}其中,需要在web.xml配置Servlet映射关系:Login
Login
Login
com.homer.Login
Login
/login注: Login.java映射成对样网页为/login,login可以在网页(html和jsp)form中指定,如 action="login"
用户登录界面用户登录界面,是用户在访问整个网站之前需要访问的,因此最好制作成静态页面HTML,本例如:userlogin.html
UserName :
UserPwd :注: 此时 action="login" 默认对应Java(Servlet)中对应的 Login.java进行验证解析
userlogin.html针对上述两种 用户登录验证 方式,分别提供了两种POST方式:1) 针对JSP方式2) 针对Java(Servlet)方式本示例代码说明本示例主要代码结构图如下:1) head.jsp 和 foot.jsp统一控制jsp页面的上,下部内容,类似ASP.NET的模板2) index.jsp网站默认的登录页面,本示例主要用作跳转到登录页面userlogin.html:3)userlogin.html静态登录页面,见上面用户登录界面的所示4) login.jsp 和 Login.javalogin.jsp 网页验证用户登录信息(用户名和密码),见上面的用户登录验证方式1Login.java 后台验证用户登录信息(用户名和密码),见上面的用户登录验证方式25) logincheck.jsp 和 LoginFilter.javalogincheck.jsp 网页验证用户是否已登录,见上面的JSP 网页权限方式1LoginFilter.java后台验证用户是否已登录,见上面的JSP 网页权限方式26) page111.jsp, page222.jsp, page333.jsp(1) page111.jsp采用logincheck.jsp 网页权限验证,其代码内容为:I am page111.jsp
(2) page222.jsp采用logincheck.jsp 网页权限验证,其代码内容为:I am page222.jsp
注:采用filter过滤方式,在web.xml配置文件中设置了哪些jsp网页需要过滤,见上面JSP 网页权限---》2) filter 过滤(3) page333.jsp采用logincheck.jsp 网页权限验证,其代码内容为:I am page333.jsp
注: 没有任何验证,用户可以直接输入网址进行访问7) logout.jsp用户退出时,注销session中的登录信息本示例运行界面:1) 登录界面userlogin.html2) JSP 页面验证logincheck.jsp(或LoginFilter.java)页面访问前进行登录验证
3) 验证通过访问JSP页面login.jsp(或Login.java)用户登录后才可以正常访问JSP页面