JSP学习之Java Web中的安全控制实例详解
来源:互联网 发布:js object 键 值 编辑:程序博客网 时间:2024/05/16 15:57
本文实例讲述了JSP学习之Java Web中的安全控制。分享给大家供大家参考。具体如下:
一、目标:
① 掌握登录之后的一般处理过程;
② 能够为每个页面添加安全控制;
③ 能够共享验证代码;
④ 使用过滤器对权限进行验证;
⑤ 能够对文件的局部内容进行验证;
⑥ 掌握安全验证码的基本实现方式;
⑦ 通过异常处理增强安全性。
二、主要内容:
① 通过修改前面的登录功能,分别对管理员和普通用户的登录进行处理;
② 为管理员才能访问的页面添加控制;
③ 共享各个页面中的控制代码,使用专门的文件,然后在需要的时候调用;
④ 使用过滤器降低重复验证代码;
⑤ 通过标准标签库完成页面局部信息的安全控制;
⑥ 介绍安全验证码的基本实现方式;
1、完善登录功能
正常情况下,管理员登录成功之后跳转到管理员默认工作界面;普通用户登录之后跳转到普通用户默认工作界面;用户登录失败后跳转到登录界面重新登录。
为了完成这个功能,需要编写管理员界面和普通用户界面。
管理员界面对应的文件为manager.jsp,代码如下:
manager.jsp代码:
管理员操作界面
普通用户界面对应的文件为commonuser.jsp,代码如下:
commonuser.jsp代码:
普通用户界面
修改登录的Servlet,修改后的代码如下:
LoginProcess.java代码:
package
servlet;
import
javabean.User;
import
java.io.IOException;
import
java.io.PrintWriter;
import
javax.servlet.RequestDispatcher;
import
javax.servlet.ServletException;
import
javax.servlet.http.HttpServlet;
import
javax.servlet.http.HttpServletRequest;
import
javax.servlet.http.HttpServletResponse;
import
javax.servlet.http.HttpSession;
public
class
LoginProcess
extends
HttpServlet {
public
void
doGet(HttpServletRequest request, HttpServletResponse response)
throws
ServletException, IOException {
doPost(request,response);
}
public
void
doPost(HttpServletRequest request, HttpServletResponse response)
throws
ServletException, IOException {
// 获取信息
String username = request.getParameter(
"username"
);
String userpass = request.getParameter(
"userpass"
);
// 调用JavaBean
User user =
new
User();
user = user.findUserByName(username);
String forward;
if
(user==
null
){
forward=
"failure.jsp"
;
}
else
if
(user.getUserpass().equals(userpass)){
if
(user.getUsertype().equals(
"1"
)){
forward=
"manager.jsp"
;
}
else
{
forward=
"commonuser.jsp"
;
}
}
else
{
forward=
"failure.jsp"
;
}
RequestDispatcher rd = request.getRequestDispatcher(forward);
rd.forward(request,response);
}
}
2、为每个界面添加安全控制
上面的实例中登录成功后会跳转到管理员界面或者普通用户界面,但是如果用户直接输入管理员界面,就会跳过登录界面。例如用户可以直接输入:http://127.0.0.1:8080/ch11/manager.jsp。
为了解决这个问题,在每个有安全限制的界面都应该增加安全控制。需要完成两项工作:
① 在登录之后把用户的信息写入到session中;
② 在每个页面中,从session中获取信息进行验证;
在登录之后把用户信息写入到session中,下面是修改后的LoginProcess.java代码:
LoginProcess.java代码:
package
servlet;
import
javabean.User;
import
java.io.IOException;
import
java.io.PrintWriter;
import
javax.servlet.RequestDispatcher;
import
javax.servlet.ServletException;
import
javax.servlet.http.HttpServlet;
import
javax.servlet.http.HttpServletRequest;
import
javax.servlet.http.HttpServletResponse;
import
javax.servlet.http.HttpSession;
public
class
LoginProcess
extends
HttpServlet {
public
void
doGet(HttpServletRequest request, HttpServletResponse response)
throws
ServletException, IOException {
doPost(request,response);
}
public
void
doPost(HttpServletRequest request, HttpServletResponse response)
throws
ServletException, IOException {
// 获取信息
String username = request.getParameter(
"username"
);
String userpass = request.getParameter(
"userpass"
);
// 调用JavaBean
User user =
new
User();
user = user.findUserByName(username);
// 得到session对象
HttpSession session = request.getSession(
true
);
String forward;
if
(user==
null
){
forward=
"failure.jsp"
;
}
else
if
(user.getUserpass().equals(userpass)){
if
(user.getUsertype().equals(
"1"
)){
// 在session对象中存储信息
session.setAttribute(
"usertype"
,
"1"
);
forward=
"manager.jsp"
;
}
else
{
session.setAttribute(
"usertype"
,
"0"
);
forward=
"commonuser.jsp"
;
}
}
else
{
forward=
"failure.jsp"
;
}
RequestDispatcher rd = request.getRequestDispatcher(forward);
rd.forward(request,response);
}
}
以commonuser.jsp为例介绍如何在每个文件中进行安全控制,下面是修改后的代码:
commonuser.jsp代码:
<%@ page contentType=
"text/html;charset=gb2312"
%>
<%@ taglib prefix=
"c"
uri=
"http://java.sun.com/jsp/jstl/core"
%>
<c:
if
test=
"${usertype!=/"
0
/
"}"
>
<jsp:forward page=
"login.jsp"
/>
</c:
if
>
普通用户界面
这样,如果不登录而直接访问commonuser.jsp就会跳转到登录界面。
3、采用专门的文件进行验证
因为很多页面都要编写验证的代码,所以可以把这些代码放在一个文件中进行共享,需要的使用调用共享文件。下面仍然以commonuser.jsp为例介绍如何实现验证代码的共享。
使用专门的文件存放共享代码:
check.jsp代码:
<%@ taglib prefix=
"c"
uri=
"http://java.sun.com/jsp/jstl/core"
%>
<c:
if
test=
"${usertype!=/"
0
/
"}"
>
<jsp:forward page=
"login.jsp"
/>
</c:
if
>
在需要验证的文件中导入这个专门的文件。以commonuser.jsp为例:
commonuser.jsp代码:
<%@ page contentType=
"text/html;charset=gb2312"
%>
<%@ include file=
"check.jsp"
%>
普通用户界面
使用include指令包含目标文件,在把JSP转换成Java文件的时候,会把目标文件的代码拷贝到当前文件。
再运行测试,结果是相同的。
4、使用过滤器对权限进行验证
把具有相同权限要求的文件放在相同的文件夹下,对文件夹的访问进行统一的过滤。
编写用于过滤的Servlet,代码如下:
CommonCheck.java代码:
package
servlet;
import
java.io.IOException;
import
javax.servlet.Filter;
import
javax.servlet.FilterChain;
import
javax.servlet.FilterConfig;
import
javax.servlet.ServletException;
import
javax.servlet.ServletRequest;
import
javax.servlet.ServletResponse;
import
javax.servlet.http.HttpServlet;
import
javax.servlet.http.HttpSession;
import
javax.servlet.http.HttpServletRequest;
import
javax.servlet.http.HttpServletResponse;
public
class
CommonCheck
extends
HttpServlet
implements
Filter {
public
void
doFilter(ServletRequest arg0, ServletResponse arg1,
FilterChain arg2)
throws
IOException, ServletException {
// 得到session
HttpSession session = ((HttpServletRequest)arg0).getSession(
true
);
// 得到用户类型
String usertype = (String)session.getAttribute(
"usertype"
);
// 进行判断
if
(usertype==
null
|| usertype.equals(
"1"
)){
((HttpServletResponse)arg1).sendRedirect(
"./../login.jsp"
);
}
// 继续调用其他的过滤器
try
{
arg2.doFilter(arg0, arg1);
}
catch
(Exception e){}
}
public
void
init(FilterConfig arg0)
throws
ServletException {
// TODO Auto-generated method stub
}
}
配置过滤器,过滤器的配置与Servlet的配置非常类似,在web.xml中添加如下代码:
<
filter
>
<
filter-name
>CommonCheck</
filter-name
>
<
filter-class
>servlet.CommonCheck</
filter-class
>
</
filter
>
<
filter-mapping
>
<
filter-name
>CommonCheck</
filter-name
>
<
url-pattern
>/commonuser/*</
url-pattern
>
</
filter-mapping
>
url-pattern中使用/commonuser/*,这样只要访问commonuser这个文件夹,就会访问这个过滤器,如果用户没有登录,将不能访问目标文件。
测试:为了测试需要创建一个文件夹commonuser,把commonuser.jsp拷贝到commonuser文件中。
测试过程如下:
先直接访问:http://127.0.0.1:8080/ch11/commonuser/commonuser.jsp,你会发现显示的是登录界面,就是因为没有登录而访问了commonuser中的文件,过滤器进行处理,然后跳转到登录界面了。
然后在登录界面输入正确的用户名和口令,然后再次在地址栏中输入上面的地址,这时候会看到commonuser.jsp文件的内容。表示验证通过。
5、对文件局部内容的安全进行控制
前面介绍的都是文件级别的安全控制,有时候需要对文件中部分内容进行安全控制,例如物品信息列表这样的界面,如果当前用户是管理员,则可以在其中完成管理功能,而对于普通用户来说,而不可以,这就需要进行局部的控制。局部控制主要是通过标准标签库中的<c:if>标签来完成。
6、安全验证码的基本实现方式
为了增强网站的安全性,很多网站采用了很多安全措施。例如SSL方式的访问、U盾和口令卡(工商银行)、信息加密等。安全验证码是现在比较流行的有效的一个安全措施,能够有效的解决用户通过遍历所有可能的组合来破解密码的问题。
基本工作原理如下:每次客户端访问服务器的时候,服务器会生成验证码,以图形的形式显示给用户,同时在服务器上保留备份,用户在提交信息的时候需要把验证码同时提交道服务器,服务器接收到验证码之后与服务器端的验证码进行比较,如果相同则进行处理。如果不同,则让用户重新输入。因为每次都变化,所有用户如果想破解密码,首先要应付变化的安全验证码,所以加大了破解的难度。
7、通过异常处理增强安全性
有时候用户的攻击是根据网站所使用的服务器来进行了,因为很多服务器都有自己的bug。如果不能对异常进行有效的处理,错误信息会显示在客户端,从错误信息中可以让客户发现服务器的版本信息,这样就为用户的恶意攻击提供了便利条件。
例如,用于输入:http://127.0.0.1:8080/ch11/abc.jsp
而abc.jsp是一个不存在的文件,这时候如果不进行处理,会在客户端显示服务器的信息。
如果能够对各种异常进行处理,不让用户看到你所使用技术和服务器,这样客户进行攻击的难度就加大了。
曾经有一个学生作了这样一件事情:使用JSP技术完成了一个网站,然后通过配置之后,客户端访问的时候,使用的文件后缀名都是php,给人的感觉就像是采用php技术编写的网站。
希望本文所述对大家的JSP程序设计有所帮助。
如对本文有疑问,请提交到交流社区,广大热心网友会为你解答!! 点击进入社区
您可能感兴趣的文章:
- 使用Java开发实现OAuth安全认证的应用
- Java中HttpServletResponse响应中文出现乱码问题
- java使用HttpSession实现QQ访问记录
- 使用httpclient无需证书调用https的示例(java调用https)
- 使用flex中的httpservice方法与java进行交互
- 使用asx3m与xstream配合解决flex与java利用httpservice传递xml数据问题
- java struts2学习笔记之线程安全
- Java线程安全中的单例模式
- java编译时出现使用了未经检查或不安全的操作解决方法
- 深入理解:Java是类型安全的语言,而C++是非类型安全的语言
- Java实现SSL双向认证的方法
- JSP学习之Java Web中的安全控制实例详解
- [转]Web安全之JSP详解
- JSP培训(11)——Java Web中的安全控制
- JSP培训(11)——Java Web中的安全控制
- JSP培训(11)——Java Web中的安全控制
- Java Web 之详解JSP
- [原]Java web学习系列之 Java web开发中的jsp九种内置对象
- Java Web开发之详解JSP
- Java Web开发之详解JSP
- Java Web开发之详解JSP .
- Java Web开发之详解JSP
- Java Web学习笔记之JSP基础
- Java Web学习之JSP基本知识篇
- Java web 学习之jsp—javabean
- java web -- jsp 和 servlet 线程安全
- Java Web day(7)之jsp详解
- Java Web学习总结(40)——JSP中的Application对象和Session对象常用方法详解
- 传智播客Java web学习,jsp中的中文乱码问题
- java学习第三天
- HDU 4740 The Donkey of Gui Zhou 暴力
- 深度学习在计算机视觉方向的前沿应用
- 美剧在中国那些事
- Unity_设计模式_简介_01
- JSP学习之Java Web中的安全控制实例详解
- 微信小程序循环请求api
- 2017-09-21 LeetCode_033 Search in Rotated Sorted Array
- GeekBand笔记-《STL与泛型编程 》 第五周
- DNS主从、子域授权,转发实验
- memcached缓存失效get_miss
- StringBuilder和String的区别
- troubleshooting之解决各种序列化导致的报错
- HDU-2612 BFS