学习tomcat 小记（5）

hongleimi

安全性

一些web应用的内容是受限的，只有有特定权限的用户才能访问。

servlet容器通过一个称为authenticator的valve来支持安全认证。当container启动时，authenticator被添加到container的pipeline中。在wrapper被调用之前，会先调用authenticator，用来对用户进行认证。若用户输入了正确的用户名密码，则authenticator会调用下一个valve，否则会直接返回，不再继续执行剩余的valve。
authenticator调用context的realm的authenticate方法对用户身份进行认证。

Realm（领域）
realm是通过用户名密码对用户身份进行认真的组件，通常附属于某个context，而一个container也只能有一个realm。可以调用container的setRealm方法将realm和container相关联。
realm如何对用户进行认证呢？答案是使用存储在realm实例的信息或从store中查找需要的信息，这取决于realm的具体实现。在tomcat中，用户信息被存储在tomcat-users.xml文件中。

GenericPrincipal
principal由java.security.Principal接口表示。在catalina中的实现是org.apache.catalina.realm.GenericPrincipal类。一个GenericPrincipal实例必须关联一个realm。

LoginConfig
登录配置包含了一个realm名，由org.apache.catalina.deploy.LoginConfig类表示，该类是一个final类。LoginConfig类将realm名和相应的认证方法进行了封装。调用LoginConfig的getRealmName方法可以获得realm的名字，调用getAuthName方法获取认证方法。其中认证方法必须是下面的可选项之一：BASIC，DIGEST，FORM或CLIENT-CERT。若使用了基于表单的认证方式，则LoginConfig实例也可以使用属性loginPage和errorPage分别表示登录url和错误页面。

Authenticator
org.apache.catalina.Authenticator接口表示了一个authenticator组件。它没有任何方法，只是起到一个标志位的作用，这样，其他的组件就可以检测某个组件是否是一个authenticator。
catalina提供了一个Authenticator接口的基本实现，org.apache.catalina.authenticator.AuthenticatorBase类。除了实现Authenticator接口外，AuthenticatorBase类还扩展了org.apache.catalina.valves.ValveBase类，也就是说，AuthenticatorBase类也是一个valve。org.apache.catalina.authenticator包下有一些Authenticator接口的是实现类，例如BasicAuthenticator（支持基本认证），FormAuthenticator（基于表单的认证），DigestAuthentication（支持摘要的认证），SSLAuthenticator（支持SSL的认证）。此外，若tomcat用户没有为auth-method指定值时，会使用NonLoginAuthenticator类进行认真。NonLoginAuthenticator类仅仅检查安全性，并不涉及用户身份认证。