Tomcat 容器的安全认证和鉴权

发布时间：2019-05-21 18:20:40 所属栏目：外闻来源：顿悟源码

导读：大量的 Web 应用都有安全相关的需求，正因如此，Servlet 规范建议容器要有满足这些需求的机制和基础设施，所以容器要对以下安全特性予以支持：身份验证：验证授权用户的用户名和密码资源访问控制：限制某些资源只允许部分用户访问数据完整性：能够证明

Tomcat 支持通过一次验证就能访问部署在同一个虚拟主机上的所有 Web 应用，可通过以下配置实现：

<Host name="localhost" ...> 
  ... 
  <Valve className="org.apache.catalina.authenticator.SingleSignOn"/> 
  ... 
</Host>

Tomcat 的单点登录是利用 Cookie 实现的：

当任一 Web 应用身份验证成功后，都会把用户身份信息缓存到 SSO 中，并生成一个名为 JSESSIONIDSSO 的 Cookie

当用户再次访问这个主机时，会通过 Cookie 拿出存储的用户 token，获取用户 Principal 并关联到 Request 对象中

在单机环境下，没有问题，在集群环境下，Tomcat 支持 Session 的复制，那单点登录相关的信息也会同步复制吗?后续会继续分析 Tomcat 集群的原理和实现。

5. 小结

本文介绍的是 Tomcat 内部实现的登录认证和权限，而应用程序通常都是通过 Filter 或者自定义的拦截器(如 Spring 的 Interceptor)实现登录，或者使用第三方安全框架，比如 Shiro，但是原理都差不多。

至此，除了集群的实现，Tomcat 的核心原理已经分析完毕，接下来将会模拟实现一个简单的 Tomcat，欢迎关注。

（编辑：辽源站长网）

【声明】本站内容均来自网络，其相关言论仅代表作者个人观点，不代表本站立场。若无意侵犯到您的权利，请及时与联系站长删除相关内容!