安全约束和欢迎文件

Question

在我的 web.xml 中，我使用如下内容：

<security-constraint>
  <web-resource-collection>
    <web-resource-name>Block all</web-resource-name>
    <url-pattern>/*</url-pattern>
  </web-resource-collection>
  <auth-constraint />
</security-constraint>

<security-constraint>
  <web-resource-collection>
    <web-resource-name>Allow facelets</web-resource-name>
    <url-pattern>/faces/*</url-pattern>
    <http-method>POST</http-method>
    <http-method>GET</http-method>
  </web-resource-collection>
  <auth-constraint>
    <role-name>*</role-name>
  </auth-constraint>
</security-constraint>

除了以 /faces/ 开头的请求外，所有传入请求都会被阻止。 我这样做是因为，否则未经授权的用户可以访问 facelets 源文件。

它工作正常，但它不显示欢迎文件，因为即使根路径也被阻止。 我尝试将<url-pattern>/</url-pattern> 添加到第二个安全约束，但没有。

Answer 1

如果可以，请将FacesServlet 映射到后缀模式上。当您仍在使用 JSF 1.x 时，请将其映射到 *.jsf。然后，您可以使用该安全约束阻止对 *.xhtml 的访问。当您已经使用 JSF 2.0（您的问题历史证实了这一点）时，只需将其映射到 *.xhtml。与 JSF 1.x 中相反，FacesServlet 不会在无限循环中运行。这样，您根本不需要任何安全约束。唯一的缺点是，如果不涉及FacesServlet，您将无法提供“普通的”XHTML 文件。但是这样做无论如何都没有任何意义，这样的文件无论如何都必须作为*.html提供。

PS：感谢您提供/faces/* 前缀模式糟糕的另一个原因；）

Answer 2

它工作正常，但它不显示欢迎文件，因为即使是根 路径被阻塞。我试图将 / 添加到第二个 安全约束，但什么都没有。

在这种情况下，它应该可以工作。我在我的机器上测试了它，它第一次不起作用。直到，我们重新启动应用服务器。然后它会按预期运行。