Tomcat <Realm>配置
JDBCRealm 概述
JDBCRealm是tomcat 6 对Realm接口的实现，它通过JDBC驱动程序访问关系数据库。它的遍历配置可以适应于您已有的表和列名，只要您的数据库接口符合下列规范：
1. 必须有一张用户表，包含Realm可以识别的所有合法用户名称的行。
用户表必须包含至少两列：
当用户登录时，Tomcat可以识别用户名。
当用户登录时，Tomcat可以识别用户密码。
2. 必须有一张用户角色表，包含关联特殊用户的每种合法角色的行。用户有0个，1个或多个角色都是允许的。
用户角色表必须包含至少两列：
Tomcat可以识别的用户名（和用户表中的相应值一致）。
用户关联的合法角色名。
快速入门需要以下步骤设置Tomcat使用JDBCRealm：
1. 创建以上描述中必须的表和列。
2. 配置使用Tomcat的用户名和密码，至少需要有只读权限（Tomcat不会修改表中数据）。
3. 拷贝JDBC驱动程序到$CATALINA_HOME/lib目录。（注意：单纯的放在项目的lib下是不可以的，要放到tomcat的lib目录下）
4. 在您的$CATALINA_HOME/conf/server.xml文件中设置元素，或者通过jndi方式加载项目，则可以在 $CATALINA_HOME/conf/localhost 下增加 项目.xml，此文件里设置元素
5. Realm元素属性要配置JDBCRealm，以下是这个实现支持的参数：
className Realm实现的java全名。在这里必须“org.apache.catalina.realm.JDBCRealm”；
connectionName 建立JDBC连接的用户名；
connectionPassword 建立JDBC连接的密码；
connectionURL 建立JDBC连接的URL；
digest 使用非明文方式保存用户密码的摘要算法。只能输入java.security.MessageDigest支持的算法名称。如果不指定，密码以明文方式保存；
driverName 使用的JDBC驱动程序全名。详细信息请查看您使用的JDBC驱动程序；
roleNameCol 用户角色表中的角色名，包含赋予用户的角色；
userCredCol 用户表中列名，包含用户的密码（可以是明文也可以是密文）；
userNameCol 用户和用户角色表中的列表，包含了用户名；
userRoleTable 用户角色表。表中必须有userNameCol和roleNameCol中指定的列；
userTable 用户表。表中必须有userNameCol列；
例子：
Tomcat6.0+ XXX系统
1. 数据库准备
数据库里建立2张表或者2个视图也可以。(以下以视图为例)
用户表:
create or replace view users as
select col1 username, col2 password from table1
用户角色表：
create or replace view roles as select col1 username, col3 role from table1
2.tomcat采用jndi的方式加载系统，所以在conf\Catalina\localhost下增加一个xml文件，文件内容如下：
<Context path="XXX" reloadable="true" docBase="****">
<Realm className="org.apache.catalina.realm.JDBCRealm" debug="99" driverName="oracle.jdbc.driver.OracleDriver" connectionURL="jdbc:oracle:thin:@ip:port:sid" connectionName="test" connectionPassword="test" userTable="users" userNameCol="username" userCredCol="password" userRoleTable="roles" roleNameCol="role" />
<Resource ....略.../>
</Context>
xml解析：
userTable="users" 用户表：对应数据视图 users
userNameCol="username" 列名称：对应数据库视图 users的username列
userCredCol="password" 列名称：对应数据库视图 users的password列
userRoleTable="roles" 用户角色表：对应数据库视图 roles
roleNameCol="role" 列名称： 对应数据库视图 roles的role列
3. XXX项目的web.xml文件配置
<security-constraint> <display-name>admin</display-name> <web-resource-collection> <web-resource-name>Secure</web-resource-name> <url-pattern>*.do</url-pattern> <!--制定应该保护的URL--> <http-method>GET</http-method> <http-method>POST</http-method> </web-resource-collection> <auth-constraint> <!--允许以下角色访问受保护的URL--> <description>constraints</description> <role-name>DataManage</role-name> <!--角色名称--> </auth-constraint> <user-data-constraint> <transport-guarantee>NONE</transport-guarantee> <!--将对所用的通讯协议不加限制--> </user-data-constraint> </security-constraint>
<login-config> <auth-method>FORM</auth-method> <form-login-config> <form-login-page>/login.jsp</form-login-page> <!--访问受包含的url时，先跳转到该页面--> <form-error-page>/error.jsp</form-error-page> <!--判断用户没有权限访问时，跳转到该页面--> </form-login-config> </login-config>
通过以上配置，可以限定只有有DataManage角色权限的用户才能访问系统中所有包含.do的页面，从广义上讲即可限定哪些用户才能访问系统。
访问顺序：先跳转到 longin.jsp页面，页面提交后，进行安全检查，判断用户是否有权限，有权限再跳回原本访问的.do页面进行正常访问，否则跳到error.jsp
login.jsp页面部分代码：
<form name="loginForm" method="POST" action="j_security_check" > <table> <tr> <td><input type='text' name='username' ></td> <td><input type='text' name='password' ></td> </tr> <tr> <td><input type='submit' name='sub' ></td> </tr> </table> </form>
注意： action="j_security_check" ，该action进行安全检查。（<security-constraint>的作用，该action在web.xml是不用定义的。。。直接用）
如本例子,用户表：
username password
test1 123456
test2 123456
test3 123456
.......
用户角色表:
username role
test1 guest
test2 DataManage
test3 DataManage
........
这样就表示test1用户不能访问系统，只有test2和test3才能访问系统