Tomcat内核详解（十七）：运行、通信以及访问的安全管理

电玩女神 2022-05-18 05:22 159阅读 0赞

## 1.运行安全管理 ##

### 1.1 Java安全管理器——SecurityManager ###

### 1.2 Tomcat的系统安全管理 ###

Tomcat在启动的时候开启了安全管理器，它采用的是默认的安全管理器——SecurityManager。

### 1.3 安全管理器特权 ###

## 2.安全的通信 ##

### 2.1 SSL/TLS协议 ###

SSL层提供三方面的服务：

1.  证书：认证客户端和服务器，确保数据发送到正确的客户端和服务器；
2.  加密，加密数据以防止数据中途被窃取；
3.  签名，维护数据的完整性，确保数据在传输过程中不被篡改；

客户单在接收到证书之后，会读取证书中发布机构，匹配浏览器内置的受信任的发布机构列表，如果找不到，则说明这个证书发布结构不可信任，证书自然也就不可信任；程序会抛出一个错误信息；如果是受信任机构发布的，浏览器将使用受信任机构证书的公钥对服务器证书里面的指纹和指纹算法进行解密，再利用这个指纹算法计算服务器证书的指纹，把计算出来的证书与证书里面的指纹进行对比，进而判断证书是否被修改过以及证书是否是受信任结构发布的；

### 2.2 Java安全套接字扩展——JSSE ###

涉及到如下类：

*  SSLSocket和SSLServerSocket
 *  SSLSocketFactory和SSLServerSocketFactory
 *  SSL会话——SSLSession
 *  SSL上下文——SSLContext
 *  SSLEngine
 *  KeyManager
 *  TrustManager
 *  KeyStore

### 2.3 Tomcat中SSL安全信道的实现 ###

为了利用HTTPS通信，tomcat需要利用JSSE把SSL/TLS协议集成到自身系统上；Tomcat默认使用JDK中的包实现此功能；

## 3.客户端访问认证机制 ##

### 3.1 Web资源认证原理 ###

### 3.2 认证模式 ###

认证模式是由浏览器与Web服务器之间约定；不同模式有不同的特点；

1.  Basic模式

客户端对于每一个realm，通过提供用户名和密码来进行认证的方式。

※　包含密码的明文传递

基本认证步骤：

1. 客户端访问一个受http基本认证保护的资源。

2. 服务器返回401状态，要求客户端提供用户名和密码进行认证。

401 Unauthorized

WWW-Authenticate： Basic realm="WallyWorld"

3. 客户端将输入的用户名密码用Base64进行编码后，采用非加密的明文方式传送给服务器。

Authorization: Basic xxxxxxxxxx.

4. 如果认证成功，则返回相应的资源。如果认证失败，则仍返回401状态，要求重新进行认证。

特记事项：

1. Http是无状态的，同一个客户端对同一个realm内资源的每一个访问会被要求进行认证。

2. 客户端通常会缓存用户名和密码，并和authentication realm一起保存，所以，一般不需要你重新输入用户名和密码。

3. 以非加密的明文方式传输，虽然转换成了不易被人直接识别的字符串，但是无法防止用户名密码被恶意盗用。

2.Digest模式

Digest模式避免了模式避免了密码在网络中传输，提高了安全性，但是认证报文被攻击者拦截，攻击者仍然可以获取到资源；           3.Form模式

使用表单进行身份认证，认证之后对于同一个会话期间都不再进行认证，因为认证的结果已经保存在服务器端的会话中；

由于每种语言都可以自定义自己的Form模式，因此没有一个通用的标准，而且它也存在密码明文传输安全问题；

4.Spnego模式

![70][]

①客户端浏览器向web服务器发送http请求。

②服务器返回401状态码，响应头部加上 WWW-Authenticate:Negotiate。

③用户通过浏览器输入用户名向AS请求TGS票证。

④AS生成TGS票证，然后查询用户密码并用此密码加密TGS票证，返回浏览器。

⑤浏览器使用用户密码解密出TGS票证，并向TGS服务发起请求。

⑥TGS服务生成服务票证响应给浏览器。

⑦浏览器将服务票证封装到SPNEGO token中，并发送给web服务器。

⑧服务器解密出用户名及服务票证，将票证发往TGS服务验证。

⑨通过验证，开始通信。  
它将认证模块独立出来，结构变得复杂了，但是这样可以为所有应用提供认证功能，例如它可以很容易的实现多个系统之间的单点登录；

5.SSL模式

客户端和服务器端通过SSL协议建立起SSL通道，完成整个SSL通道的建立之后，才是认证的核心步骤；

6.NonLogin模式

该模式不要求用户登录，对资源进行配置，对没有配置任何角色的资源，用户不用登录即可访问，反之，不能访问；

### 3.3 Realm域 ###

Realm域是为了方便统一提供一种权限和资源的映射关系；

有三个级别的Realm域：

1.  Engine级别

所有Web应用共享

1.  Host级别

该虚拟机上的Web应用共享

1.  Context级别

专属于某个Web应用

### 3.4 Tomcat如何实现资源安全管理 ###

### 3.5 如何让你的Web具备权限认证 ###

[70]: /images/20220518/8fba1713df664372bf52d06b02720cf3.png

发表评论取消回复

表情：

评论列表（有 0 条评论，159人围观）

还没有评论，来说两句吧...

相关阅读

相关 Tomcat内核详解（二十二）：监控与管理

Tomcat在对内部监控上主要使用了JMX。JMX即Java管理扩展（Java Management Extension），作为一个Java管理体系的规范标准，其主要负责系统管

Bertha 。/ 2022年05月18日 05:26/ 0 赞/ 191 阅读

相关 Tomcat内核详解（二十一）：集群通信框架

现在如果要构造一个真正在生产环境上可使用的可靠的系统，基本都离不开集群的概念，总的来说集群是指由若干互相独立的机器通过高速网络组成的一个整体服务，整个集群的内部实现相对外

淩亂°似流年/ 2022年05月18日 05:25/ 0 赞/ 214 阅读

相关 Tomcat内核详解（十九）：多样化的会话管理器

1.Web容器的会话机制 ![70][] 【客户端是如何把jsessionid传递到服务端的呢？】一般会有三种方式： ①cookie方式，即通过浏览器读取小文本c

红太狼/ 2022年05月18日 05:24/ 0 赞/ 204 阅读

相关 Tomcat内核详解（十七）：运行、通信以及访问的安全管理

1.运行安全管理 1.1 Java安全管理器——SecurityManager 1.2 Tomcat的系统安全管理 Tomcat在启动的时候开启了安全管理器，

电玩女神/ 2022年05月18日 05:22/ 0 赞/ 160 阅读

相关 Tomcat内核详解（十六）：JSP编译器Jasper

Jasper模块是Tomcat的JSP核心引擎，我们知道JSP本质上是一个Servlet。 Tomcat使用Jasper对JSP语法进行解析，生成Servlet并生成Clas

曾经终败给现在/ 2022年05月18日 05:22/ 0 赞/ 227 阅读

相关 Tomcat内核详解（十五）：Tomcat的JNDI

一般来讲，要使用JNDI需要完成以下三个步骤： 1. 驱动器jar包放置； 2. 配置文件的配置； 3. 在程序中调用；根据范围层次，可分为两种配置方案。一种是We

不念不忘少年蓝@/ 2022年05月18日 05:22/ 0 赞/ 248 阅读

相关 Tomcat内核详解（十二）：日志框架及其国际化

1.系统内日志 Tomcat底层使用JDK自带的日志工具，没有使用第三方日志工具。以减少包的引用，没有采用JDK日志工具的默认配置，而是通过系统变量和重写某些类达到特定的

一时失言乱红尘/ 2022年05月18日 05:21/ 0 赞/ 206 阅读

相关 Tomcat内核详解（十一）：生命周期管理

Tomcat这么大的系统，必然需要对生命周期进行统一管理； 1.生命周期统一接口——Lifecycle Tomcat是以容器的方式来组织整个系统架构的，就像数据结构的树

矫情吗；*/ 2022年05月18日 05:20/ 0 赞/ 171 阅读

相关 Tomcat内核详解（十）：Wrapper容器

Wrapper容器是Tomcat中最小级别的容器，可能对应一个Servlet对象，也可能对应一个Servlet对象池； 1.Servlet工作机制 Servlet在初始

电玩女神/ 2022年05月18日 05:20/ 0 赞/ 292 阅读

相关 Tomcat内核详解（七）：Engine容器

Engine即为全局引擎容器，包含以下主要组件：虚拟主机——Host组件 Host组件是Engine容器的一个子容器，它表示一个虚拟主机。Host组件也包含了很多其

约定不等于承诺〃/ 2022年05月18日 05:20/ 0 赞/ 261 阅读