使用Tomcat j_security_check实现用户登录、注销功能

╰半橙微兮° 2022-06-17 07:55 446阅读 0赞

本文使用Tomcat容器自身的访问控制机制实现简单用户身份认证和访问授权。

# 认证授权 #

在tomcat-users.xml中配置系统内用户和角色。

之后配置Web应用中web.xml，如下。

<security-constraint>
        <display-name>Example Security Constraint</display-name>
        <web-resource-collection>
            <web-resource-name>My Test</web-resource-name>
            <url-pattern>/pages/*</url-pattern>
        </web-resource-collection>
        <auth-constraint>
            <role-name>admin</role-name>
            <role-name>assistant</role-name>
            <role-name>user</role-name>
        </auth-constraint>
    </security-constraint>
    <login-config>
        <auth-method>FORM</auth-method>
        <realm-name>Example Form-Based Authentication Area</realm-name>
        <form-login-config>
            <form-login-page>/pages/Login.jsp</form-login-page>
            <form-error-page>/error.jsp</form-error-page>
        </form-login-config>
    </login-config>
    <security-role>
        <description> the role is administrator</description>
        <role-name>role1</role-name>
    </security-role>

<url-pattern>属性配置需要授权的URL，本文指定整个pages目录中的页面都需要认证授权。<auth-constraint>属性配置能够访问授权URL的角色，角色阈值限于之前配置的tomcat-users.xml。<login-config>属性配置登录相关，<auth-method>属性值配置为FORM，因为这里采用自己实现的Login页面和error登录失败显示页面。<form-login-page>指定登录页面为`/pages/Login.jsp`，<form-error-page>指定登录失败页面为`/error.jsp`。  
  Login.jsp页面中核心代码如下。

form的action处理程序固定为`j_security_check`，用户名、密码两个input组件的name属性固定为`j_username`和`j_password`。

# 注销 #

Tomcat内置的认证访问机制使用session保存用户的认证授权信息，用户注销功能只需置session会话无效，专门写了一个LogoutServlet。

import java.io.IOException;
    
    import javax.servlet.ServletException;
    import javax.servlet.annotation.WebServlet;
    import javax.servlet.http.HttpServlet;
    import javax.servlet.http.HttpServletRequest;
    import javax.servlet.http.HttpServletResponse;
    import javax.servlet.http.HttpSession;
    
    /**
     * Servlet implementation class Logout
     */
    @WebServlet("/logout")
    public class LogoutServlet extends HttpServlet {
        private static final long serialVersionUID = 1L;
    
        /**
         * @see HttpServlet#doGet(HttpServletRequest request, HttpServletResponse response)
         */
        protected void doGet(HttpServletRequest request, HttpServletResponse response) throws ServletException, IOException {
            HttpSession session = request.getSession();
            session.invalidate();
    //      request.logout();
            response.sendRedirect("pages");
        }
    
        /**
         * @see HttpServlet#doPost(HttpServletRequest request, HttpServletResponse response)
         */
        protected void doPost(HttpServletRequest request, HttpServletResponse response) throws ServletException, IOException {
            // TODO Auto-generated method stub
        }
    
    }

设置session无效之后跳转到登录URL即可，正常页面中使用`<a href="../logout">退出登陆</a>`，整个显示像这样。  
  登录。

![这里写图片描述][SouthEast]

注销。

![这里写图片描述][SouthEast 1]

`request.logout()`方法使安全上下文无效，但是session会话仍然有效，理论上来说用户能够通过之前的URL继续访问应用。but，实际上不可以，因为当用户登出跳之后转到登录URL时，Tomcat容器已经新创建了一个session，保证之前的session已经无效，所以两种方法同样有效，之后开发最好就是一起用。

[SouthEast]: /images/20220617/6ba24ba2a1f44f97a1ffd6c0893b1501.png
[SouthEast 1]: /images/20220617/f46467e85a224479be144fe1d007470b.png