Web容器安全管理（上）——Java EE的安全概念

深碍√TFBOYSˉ_ 2022-06-14 05:25 221阅读 0赞

每个人都知道安全（Security）很重要，特别是在应用程序发布到网络上之后，安全就更为重要了，但要实现安全管理，问题却很多。原因之一是安全观念及意识不是朝夕即可养成；二是实现时的各种疏忽。

到目前为止，Web容器已经实现了许多功能，而在安全这方面，容器也提供了机制来满足安全的基本需求，当没办法做得更好时，适当地使用容器进行安全管理不仅方便，而且有一定的防护效果。

为了更好地了解并实现Web容器的安全管理，笔者以两篇博客的篇幅来介绍，即：[《Web容器安全管理（上）——Java EE的安全概念》][Web_Java EE] 和 [《Web容器安全管理（下）——容器基本身份验证》][Web]。在本文，我们概述Java EE中安全的基本概念和验证模型。

## **1、Java EE安全基本概念** ##

尽管对安全的要求细节各不相同，然而Web容器对于以下四个基本安全特性提供了基础：

（1）验证(Authentication)：具体来说就是身份验证，也就是确认目前沟通的对象（号称自己有权访问的对象），真的是自己所宣称的用户(User)或身份(Identify)。

（2）资源访问控制(Access control for resources)：基于完整性(Integrity)、机密性(Confidentiality)、可用性限制(Availability constraints)等目的，对资源的访问必须设限，仅提供一些特定的用户或程序。

（3）数据完整性(Data Integrity)：在信息传输期间，必须保证信息的内容不被第三方修改。

（4）数据机密性或私密性(Confidentiality or Data Privacy)：只允许具有合法权限的用户访问特定的数据。

问题在于如何实现这四个需求？要使用窗体来做身份验证吗？验证时提供哪些数据？如何定义应用程序的用户列表？权限清单？哪些用户有哪些权限？哪些资源需要受到权限控制？传送密码的过程会不会受到窃听？传送机密数据会不会被拦截？

要解决这些需求不是件容易的事，需要许多复杂的逻辑，也需要与系统作沟通。在Java EE中，容器（无论是EJB容器还是Web容器）提供了这些需求的实现，这些实现是Java EE的标准，只要是符合Java EE规范的容器，都可以使用这些实现。

在使用Web容器提供的安全实现之前，必须先了解几个Java EE的名词与概念：

用户(User)：允许使用应用程序服务的合法个体（也许是一个人，也许是一台机器），简单地说，应用程序会定义用户列表，要使用应用程序服务必须先通过身份验证成为用户，如下图所示。

![SouthEast][]

组(Group)：为了方便管理用户，可以将多个用户定义在一个组中加以管理。例如，普通用户组、系统管理组、应用程序管理组等，通常一个用户可以同时属于多个组，如下图所示。

![SouthEast 1][]

角色(Role)：Java应用程序许可证管理的依据。用户是否可存取某些资源，所凭借的是用户是否具备某种角色。组与角色容易让人混淆不清，组是系统上管理用户的方式，而角色是Java应用程序中管理授权的方式。例如，服务器系统上有用户及组的数据清单（通常存储在数据库中），但Java应用程序的开发人员在进行许可证管理时，无法事先得知这个应用程序将部署在哪个服务器上，所以无法直接使用服务器系统上的用户及组来进行许可证管理，而必须根据角色来定义。届时Java应用程序真正部署至服务器时，再通过服务器特定的设置方式，将角色对应至用户或组。下图左边定义了三个应用程序角色，角色实际如何对应至服务器系统上的用户或组，则通过实际部署时的设置来决定。例如，图中站长角色将对应系统管理组的三个用户以及用户组的一个用户，而版主角色则对应系统管理组的一个用户与用户组的一个用户。

![SouthEast 2][]

例如，在Tomcat容器中，会通过conf文件夹下的tomcat-users.xml来设置角色与用户的对应，一个范例如下：

<tomcat-users version="1.0" xmlns="http://tomcat.apache.org/xml" xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance" xsi:schemaLocation="http://tomcat.apache.org/xml tomcat-users.xsd">
        <role rolename="manager"/>
        <role rolename="admin"/>
        <user username="caterpillar" password="123456" roles="admin,manger"/>
        <user username="momor" password="654321" roles="manager"/>
    </tomcat-users>

在上例中，如果通过容器验证而登录为caterpillar的用户，将拥有Admin与Manager角色，将可以访问Web容器授予Admin与Manager解决的资源，这会在web.xml中设置。下一篇博客将介绍在web.xml中如何定义角色，以及如何定义角色可以存取的资源。

Realm：储存身份验证时所需数据的地方。Realm这个名词乍看之下有点难以理解，但在谈及安全时，却会经常看到。举几个例子来说，如果进行身份验证的方式是基于名称与密码，则储存名称与密码的地方就称为Realm，这也许是来自文件，或是数据库中的用户表格，也可能是内存中的数据，甚至来自网络。

了解了这几个名词后，下面介绍Web容器安全管理的两种方式：声明安全(Declarative Security)与编程安全(Programmatic Security)。

声明安全：可在配置文件中声明哪些资源是只有在合法授权的用户才可以访问，在不修改应用程序源代码的情况下，就可以为应用程序加上安全管理机制，这就是所谓的声明安全。

编程安全：在程序代码中编写逻辑根据不同权限的用户，给予不同的操作功能。例如，同样在观看论坛文章的页面，会员只看到基本的发表文章等功能菜单，但具备版主权限的用户，可以看到删除整个讨论组、修改会员文章等功能菜单。如果使用Web容器安全管理，可以使用request对象的isUserRole()或getUserPrincipal()等方法，判断用户是否属于某个角色或取得代表用户的Principal对象，进行相关逻辑判断以针对不同的用户（角色）显示不同的功能。

## **2、Java EE的验证模型** ##

Java EE平台提供了与具体应用程序安全实现机制无关的编程模型，这种无关性提高了应用程序的可移植性，使应用程序可以部署在不同的安全环境中。Java EE环境中组件的安全由其容器负责，并为应用程序开发提供基于容器的说明性和可编程两种安全形式。说明性通过结构描述符表述应用程序的安全需求，包括安全角色、访问控制和验证要求等。部署描述符是组件开发者和应用程序部署者或组装者间的交流工具。开发者用它表示应用中的安全需求，部署者或组装者将安全角色与部署环境中的用户和组映射起来。程序运行时容器从部署描述符中提取出相应的安全策略，然后根据安全策略执行安全验证。可编程的安全性在说明性和安全性的基础上，使安全敏感的应用可通过调用容器提供的API对安全作出决断。

身份验证是用户或组件调用者向系统证明其身份的过程。用户通过某种方式向系统提交验证信息（通常是用户名和密码或者是用户的数字证书），系统以用户提供的验证信息和自身的安全策略来验证用户的身份，如下面图1和图2所示。

![SouthEast 3][]

以Web客户端的验证为例，Web客户端通常通过http协议请求Web 服务器端的资源，包括html网页、jsp文件、Servlet和其他二进制或多媒体文件。企业的某些资源往往要求只允许某些人访问，有些资源甚至是机密的或安全敏感的。因此对企业中各种 Web资源进行访问控制是十分必要的。为了满足企业中的不同安全级别和客户化的需求，Java EE提供了3种基于Web客户端的验证方式：

① HTTP 基本验证

HTTP基本验证是HTTP协议所支持的验证机制。这种验证机制使用用户的用户名和密码作为验证信息。Web客户端从用户获取用户名和密码，然后传递他们给Web服务器，Web 服务器在指定的区域（Realm）中验证用户。

② 基于表单的验证

基于表单验证使系统开发者可自定义用户登陆页面和报错页面。这种验证方法与基本HTTP的验证方法唯一区别在于它可根据用户要求定制登陆页面和登陆出错页面。

③ 基于客户端证书的验证

基于客户端证书的验证方式要比上面两种方式更安全。它通过 HTTPS（HTTP over SSL）来保证验证的安全性。

本文概述了Java EE安全的基本概念和它提供的验证模型，使得读者能够对Java EE安全有一个全新的系统的认识，Web容器提供了Java EE对安全的要求。 [下一篇博客][Web]将具体阐述Web容器提供的基本身份验证方式及应用。

[Web_Java EE]: http://blog.csdn.net/fuzhongmin05/article/details/73023661
[Web]: http://blog.csdn.net/fuzhongmin05/article/details/73090088
[SouthEast]: /images/20220614/9c110c4a8710458db3dbab3d6f77ce5e.png
[SouthEast 1]: /images/20220614/3485753a53c3462ca878e9516dc308f5.png
[SouthEast 2]: /images/20220614/54c89a3410494fac8afe9d9737e25174.png
[SouthEast 3]: /images/20220614/b0fb0901117547029fc5d1c20420d3c9.png