即使是正确的凭据，基本身份验证也不起作用

Question

我正在尝试配置 Tomcat 7 JDBC 领域配置。 我完全按照本教程进行操作： http://www.avajava.com/tutorials/lessons/how-do-i-use-a-jdbc-realm-with-tomcat-and-mysql.html

我收到基本身份验证弹出窗口，但即使我输入正确的凭据，用户也未通过身份验证。 我没有收到任何错误消息。

教程指定 Tomcat 5.5，但我使用的是 Tomcat 7。 我刚刚更改了connectionPasword 和connectionName 以及动态Web 项目的名称。

这里是server.xml JDBC 领域配置

    <Realm  className="org.apache.catalina.realm.JDBCRealm"
            driverName="com.mysql.jdbc.Driver"
            connectionURL="jdbc:mysql://localhost:3306/tomcat_realm"
            connectionName="root" 
            connectionPassword="root"
            userTable="tomcat_users" 
            userNameCol="user_name" 
            userCredCol="password"
            userRoleTable="tomcat_users_roles" 
            roleNameCol="role_name" />

这里是web.xml

<servlet>
    <servlet-name>TestServlet</servlet-name>
    <servlet-class>test.TestServlet</servlet-class>
</servlet>
<servlet-mapping>
    <servlet-name>TestServlet</servlet-name>
    <url-pattern>/test</url-pattern>
</servlet-mapping>

<security-constraint>
    <web-resource-collection>
        <web-resource-name>Wildcard means whole app requires authentication</web-resource-name>
        <url-pattern>/*</url-pattern>
        <http-method>GET</http-method>
        <http-method>POST</http-method>
    </web-resource-collection>
    <auth-constraint>
        <role-name>dude</role-name>
    </auth-constraint>

    <user-data-constraint>
        <!-- transport-guarantee can be CONFIDENTIAL, INTEGRAL, or NONE -->
        <transport-guarantee>NONE</transport-guarantee>
    </user-data-constraint>
</security-constraint>

<login-config>
    <auth-method>BASIC</auth-method>
</login-config>

我只能看到，我收到了这条关于安全的消息：

Security role name dude used in an <auth-constraint> without being defined in a <security-role>

你能帮我解决这个问题吗？这个问题与 Tomcat 7 有关吗？

Answer 1

根据Java Servlet Spec，您需要将dude 角色定义为安全角色。为此，请将<security-role> 元素添加到您的web.xml，如下所示：

<servlet>
<!-- ... -->
<security-constraint>
    <web-resource-collection>
        <web-resource-name>Wildcard means whole app requires authentication</web-resource-name>
        <url-pattern>/*</url-pattern>
        <http-method>GET</http-method>
        <http-method>POST</http-method>
    </web-resource-collection>
    <auth-constraint>
        <role-name>dude</role-name>
    </auth-constraint>
<!-- ... -->
</security-constraint>

<login-config>
     <auth-method>BASIC</auth-method>
</login-config>

<security-role>
    <role-name>dude</role-name>
</security-role>

这将允许GET/POST 向任何具有dude 角色的用户发出请求。

我建议您不要包含 <http-method> 元素，因为它们不会像您预期的那样工作。为GET 和POST 包含此元素意味着安全约束仅适用于这两种方法；任何其他方法都是允许的。这是 Servlet 规范所说的：

子元素 web-resource-collection 标识 Web 应用程序中应用安全约束的资源和这些资源上的 HTTP 方法的子集。

详情请见this reference。