tomcat对于web.xml的security-constraint使用的处理机制

一.知识点

        web.xml中<security-constraint> 的子元素 <http-method> 是可选的，如果没有 <http-method> 元素，这表示将禁止所有 HTTP 方法访问相应的资源。

        子元素 <auth-constraint> 需要和 <login-config> 相配合使用，但可以被单独使用。如果没有 <auth-constraint> 子元素，这表明任何身份的用户都可以访问相应的资源。也就是说，如果 <security-constraint> 中没有 <auth-constraint> 子元素的话，配置实际上是不起中用的。如果加入了 <auth-constraint> 子元素，但是其内容为空，这表示所有身份的用户都被禁止访问相应的资源。 

 

二.问题

        对于同一个url-pattern,在web.xml出现2个<security-constraint>，一个是对该url-pattern进行了role的限制，一个没有限制role，会如何？

 

三.实践

        一个是对该url-pattern进行了role的限制，即配置auth-constraint，如：

<security-constraint>  
    <web-resource-collection>  
      <web-resourc