《JAVAweb第12章.ppt

Java Web 编程技术 第12章 Web应用的安全性 12.1 理解验证机制 12.1.1 Web安全性的措施 12.1.2 验证的类型 12.1.3 声明式安全与程序式安全 11.1.1 Web安全性的措施 Web应用的安全性措施主要包括下面四个方面： 1. 身份验证 验证是识别一个人或系统（如应用程序）以及检验其资格的过程。 在Internet领域，通常是用户名和口令。 2. 授 权 用户一旦通过验证，还必须给他授权。授权是确定用户是否被允许访问他所请求的资源的过程。 授权通常通过一个访问控制列表（ACL）实施的，该列表指定了用户和他能所访问的资源。 3. 数据完整性 数据完整性是指数据从发送者传输到接收者的过程中数据不被破坏。 数据完整性通常是通过与数据一起发送一个哈希码或签名保证的。在接收端需要验证数据和哈希码。 4. 必威体育官网网址性 必威体育官网网址性是保证除了应该访问它的用户外，别人不能访问敏感信息。 必威体育官网网址性通常是通过对信息加密来保证的，只有应该获得信息的用户才能解密。 目前，大多数Web站点使用HTTPS协议来对信息加密。 11.1.2 验证的类型 在Servlet规范中定义了如下四种验证用户的机制： HTTP Basic 基本验证 HTTP FORM-based 基于表单的验证 HTTP Digest 摘要验证 HTTPS Client 客户验证 这些验证机制都是基于用户名/口令的机制，在该机制中，服务器维护一个所有用户名和口令的列表以及需要保护的资源列表。 1. HTTP Basic 验证 称为HTTP基本验证。是由HTTP 1.1规范定义的，这是一种保护资源的最简单和最常用的验证机制。当浏览器请求受保护的资源时，服务器都要求一个用户名和口令。如果用户输入了合法的用户名/口令，服务器才发送资源。 HTTP Basic验证优缺点： 优点：非常容易实现；所有的浏览器都支持。 缺点：因为用户名/口令没有加密，所以不是很安全的；不能自定义对话框的外观。 2. HTTP Digest 验证 称为HTTP摘要验证。除了口令是以加密的方式发送的，其他与Basic验证都一样，但比Basic验证安全。 HTTP Digest验证的优缺点： 优点：它比Basic验证更安全。 缺点：它只能被IE 5以上版本支持；许多Servlet容器不支持，因为规范并没有强制要求。 3. FORM-based 验证 称为基于表单的验证。它使用HTML表单来获得用户名和口令而不是使用浏览器的弹出对话框。开发人员必须创建包含表单的HTML页面，对表单外观可以定制。 FORM-based 验证的优缺点： 优点：很容易实现；所有的浏览器都支持；可以定制登录屏幕的外观（look and feel）。 缺点：它不是很安全的，因为用户名/口令没有加密。 4. HTTPS Client 验证 称为客户证书验证。HTTPS 是在安全套接层（SSL）之上的HTTP ，SSL可以保证Internet上敏感数据传输的必威体育官网网址性。在这种机制中，当在浏览器和服务器之间建立SSL连接时执行验证。所有的数据都以加密的形式传输的，加密方法采用的是公钥加密。 HTTPS Client验证的优缺点： 优点：它是四种类型中最安全的；所有常用的浏览器都支持这种验证。 缺点：它需要一个证书授权机构的证书，如VeriSign；它的实现和维护的成本较高。 11.1.2 基本验证的过程 当客户访问受保护资源时所发生的事件序列： （1）浏览器向某个受保护资源（servlet或JSP）发送请求，此时，浏览器并不知道资源是受保护的，所以它发送的请求是一般的HTTP请求，例如： GET /servlet/secure.do HTTP/1.1 （2）当服务器接收到对资源的请求后，首先在访问控制列表（ACL）中查看该资源是否是受保护资源 如果不是受保护资源，服务器将该资源发送给用户。 如果资源是受保护的，它并不直接发送该资源，而是向客户发送一个401 Unauthorized（非授权）消息。 在该消息中包含一个响应头告诉浏览器要访问该资源需要验证。该响应头也指定了验证的安全域（realm）名。下面是一个服务器发送的响应示例： HTTP/1.1 401 Unauthorized Server: Tomcat/6.0.18 WWW-Authenticate: Basic realm=Security Test Content-Length=500 Content-Type=text/html （3）当浏览器收到上面响应后，它将打开一个对话框提示输入用户名和密码，如图所示： （4）一旦用户输入了用户名和口令，浏览器再次发送请求并在一个名为Authoriza