应用服务器如何知道用户的角色？

Question

我不熟悉基于应用服务器的安全约束。对于以下 web.xml 示例，我看到了定义的角色以及哪个角色可以访问受限资源。

<login-config>
    <auth-method>BASIC</auth-method>
    <realm-name>Whatever</realm-name>
</login-config> 

<security-role>
    <description>Administrator Role</description>
    <role-name>admin</role-name>
</security-role>

<security-role>
    <description>Privileged User</description>
    <role-name>privileged</role-name>
</security-role>

<security-role>
    <description>Guest User</description>
    <role-name>guest</role-name>
</security-role>


<security-constraint>
    <web-resource-collection>
        <web-resource-name>Privileged area</web-resource-name>
        <url-pattern>/restricted/*</url-pattern>
    </web-resource-collection>
    
    <auth-constraint>
        <role-name>admin</role-name>
        <role-name>privileged</role-name>
    </auth-constraint> 
</security-constraint>

当用户第一次发出 http 请求以访问受限页面时，他们没有角色并要求输入用户名/密码。容器可以根据数据库验证用户名并为用户分配角色（例如管理员）。容器在哪里存储这个角色，以便后续的 http 请求，它知道该请求具有适当的角色来访问资源？

Answer 1

它存储在 Web 容器中的 HTTP Session 中。通常，客户端会在其对服务器的第一个请求或在其上一个会话过期后对服务器的第一个请求时收到一个会话 ID（通常以 cookie 的形式，但并非必须如此）。然后，客户端将在后续请求中发送该会话 ID。客户端通过身份验证后，其安全上下文将存储在与会话 ID 关联的 HTTP 会话中。 流程看起来像这样：

客户：您好，我想访问您的服务。

服务器：好的，你是谁？

客户：我是 Bob，这是我的密码。 （发送凭据 - 不必是带有用户名/密码的基本身份验证）

服务员：您好 Bob - 这是您入住时的身份证。它会在 30 分钟不活动后过期。享受！ （发送会话 ID）

客户：太好了，我想访问资源 XYZ。这是我的身份证。 （发送会话 ID）

服务器：没问题 - 我们检查了注册表并确定您所在的组有权访问 XYZ。享受吧！