Tomcat <Realm>配置

JDBCRealm 概述

JDBCRealm是tomcat 6 对Realm接口的实现,它通过JDBC驱动程序访问关系数据库。它的遍历配置可以适应于您已有的表和列名,只要您的数据库接口符合下列规范:

1. 必须有一张用户表,包含Realm可以识别的所有合法用户名称的行。 

用户表必须包含至少两列:

  当用户登录时,Tomcat可以识别用户名。

  当用户登录时,Tomcat可以识别用户密码。

2. 必须有一张用户角色表,包含关联特殊用户的每种合法角色的行。用户有0个,1个或多个角色都是允许的。

用户角色表必须包含至少两列: 

   Tomcat可以识别的用户名(和用户表中的相应值一致)。

   用户关联的合法角色名。

快速入门需要以下步骤设置Tomcat使用JDBCRealm:

1. 创建以上描述中必须的表和列。

2. 配置使用Tomcat的用户名和密码,至少需要有只读权限(Tomcat不会修改表中数据)。

3. 拷贝JDBC驱动程序到$CATALINA_HOME/lib目录。(注意:单纯的放在项目的lib下是不可以的,要放到tomcat的lib目录下)

4. 在您的$CATALINA_HOME/conf/server.xml文件中设置元素,或者通过jndi方式加载项目,则可以在 $CATALINA_HOME/conf/localhost 下增加 项目.xml,此文件里设置元素

5. Realm元素属性要配置JDBCRealm,以下是这个实现支持的参数:

className Realm实现的java全名。在这里必须“org.apache.catalina.realm.JDBCRealm”;

connectionName 建立JDBC连接的用户名;

connectionPassword 建立JDBC连接的密码;

connectionURL 建立JDBC连接的URL;

digest 使用非明文方式保存用户密码的摘要算法。只能输入java.security.MessageDigest支持的算法名称。如果不指定,密码以明文方式保存;

driverName 使用的JDBC驱动程序全名。详细信息请查看您使用的JDBC驱动程序;

roleNameCol 用户角色表中的角色名,包含赋予用户的角色;

userCredCol 用户表中列名,包含用户的密码(可以是明文也可以是密文);

userNameCol 用户和用户角色表中的列表,包含了用户名;

userRoleTable 用户角色表。表中必须有userNameCol和roleNameCol中指定的列;

userTable 用户表。表中必须有userNameCol列;

例子:

Tomcat6.0+ XXX系统

1. 数据库准备

数据库里建立2张表或者2个视图也可以。(以下以视图为例)

用户表:

create or replace view users as

    select col1  username, col2  password  from table1

用户角色表:

create or replace view roles as   select col1  username, col3   role   from  table1

2.tomcat采用jndi的方式加载系统,所以在conf\Catalina\localhost下增加一个xml文件,文件内容如下:

<Context path="XXX" reloadable="true" docBase="****">
<Realm className="org.apache.catalina.realm.JDBCRealm" 
debug="99" driverName="oracle.jdbc.driver.OracleDriver" 
connectionURL="jdbc:oracle:thin:@ip:port:sid"
connectionName="test" connectionPassword="test"
userTable="users" userNameCol="username" userCredCol="password"
userRoleTable="roles" roleNameCol="role" />
<Resource ....略.../>
</Context>

xml解析:

userTable="users"     用户表:对应数据视图 users

userNameCol="username"   列名称:对应数据库视图 users的username列

userCredCol="password"    列名称:对应数据库视图 users的password列

userRoleTable="roles"   用户角色表:对应数据库视图 roles

roleNameCol="role"       列名称:      对应数据库视图 roles的role列

3. XXX项目的web.xml文件配置

<security-constraint>
  <display-name>admin</display-name>
  <web-resource-collection>
   <web-resource-name>Secure</web-resource-name>
   <url-pattern>*.do</url-pattern>     <!--制定应该保护的URL-->
   <http-method>GET</http-method>
   <http-method>POST</http-method>
  </web-resource-collection>
  <auth-constraint>                 <!--允许以下角色访问受保护的URL-->
   <description>constraints</description>   
   <role-name>DataManage</role-name>    <!--角色名称-->
  </auth-constraint>
  <user-data-constraint>
   <transport-guarantee>NONE</transport-guarantee>  <!--将对所用的通讯协议不加限制-->
  </user-data-constraint>
 </security-constraint>
 <login-config>        
  <auth-method>FORM</auth-method>
  <form-login-config>
   <form-login-page>/login.jsp</form-login-page>         <!--访问受包含的url时,先跳转到该页面-->
   <form-error-page>/error.jsp</form-error-page>        <!--判断用户没有权限访问时,跳转到该页面-->
  </form-login-config>
 </login-config>

通过以上配置,可以限定只有有DataManage角色权限的用户才能访问系统中所有包含.do的页面,从广义上讲即可限定哪些用户才能访问系统。

访问顺序:先跳转到 longin.jsp页面,页面提交后,进行安全检查,判断用户是否有权限,有权限再跳回原本访问的.do页面进行正常访问,否则跳到error.jsp

login.jsp页面部分代码:

<form name="loginForm" method="POST" action="j_security_check" >
<table>
<tr>
   <td><input type='text' name='username' ></td>
   <td><input type='text' name='password' ></td>
</tr>
<tr>
   <td><input type='submit' name='sub' ></td>
</tr>
</table>
</form>

注意: action="j_security_check" ,该action进行安全检查。(<security-constraint>的作用,该action在web.xml是不用定义的。。。直接用)

如本例子,用户表:

username    password                        

 test1           123456                      

 test2           123456

 test3           123456

.......

用户角色表:

username        role

 test1               guest

 test2               DataManage

 test3               DataManage

........

这样就表示test1用户不能访问系统,只有test2和test3才能访问系统      

相关推荐