今天小編給大家分享一下Tomcat內(nèi)部是如何處理來(lái)完成BASIC應(yīng)用認(rèn)證的的相關(guān)知識(shí)點(diǎn)，內(nèi)容詳細(xì)，邏輯清晰，相信大部分人都還太了解這方面的知識(shí)，所以分享這篇文章給大家參考一下，希望大家閱讀完這篇文章后有所收獲，下面我們一起來(lái)了解一下吧。

企業(yè)建站必須是能夠以充分展現(xiàn)企業(yè)形象為主要目的，是企業(yè)文化與產(chǎn)品對(duì)外擴(kuò)展宣傳的重要窗口，一個(gè)合格的網(wǎng)站不僅僅能為公司帶來(lái)巨大的互聯(lián)網(wǎng)上的收集和信息發(fā)布平臺(tái)，成都創(chuàng)新互聯(lián)面向各種領(lǐng)域：三輪攪拌車(chē)等網(wǎng)站設(shè)計(jì)、成都全網(wǎng)營(yíng)銷(xiāo)解決方案、網(wǎng)站設(shè)計(jì)等建站排名服務(wù)。

1. Authorization 請(qǐng)求頭

在此之前，我們先來(lái)了解下請(qǐng)求頭中的Authorization的具體作用，以下為RFC2616中對(duì)于authorization的定義：

A user agent that wishes to authenticate itself with a server--

usually, but not necessarily, after receiving a 401 response--

does so by including an Authorization request-header field with the

request. T

Authorization = "Authorization" ":" credentials

即在收到服務(wù)器返回401信息之后，用于向服務(wù)器傳遞認(rèn)證的信息。

2. BASIC認(rèn)證

對(duì)于HTTP的安全認(rèn)證方式，有以下幾種實(shí)現(xiàn)形式：

• BASIC

• FORM

• DIGEST

• SSL

在輸入用戶名和密碼之后，實(shí)際上傳到Tomcat的是這樣一個(gè)內(nèi)容：


Basic dG9tY2F0OnRvbWNhdA==


這個(gè)字符串，空格前是當(dāng)前認(rèn)證使用的方式，空格后是用戶名和密碼的Base64編碼，寫(xiě)到這里，大家應(yīng)該會(huì)哦的一聲，后臺(tái)直接不就是Base64解碼嘛。你說(shuō)的對(duì)。是這樣的


解碼的代碼如下：位于BasicAuthorization.authenticate()

// Validate any credentials already included with this request
MessageBytes authorization =
   request.getCoyoteRequest().getMimeHeaders()
   .getValue("authorization"); //解析出請(qǐng)求頭中的認(rèn)證值

if (authorization != null) {
   authorization.toBytes();
   ByteChunk authorizationBC = authorization.getByteChunk();
   BasicCredentials credentials = null;
   try {
       credentials = new BasicCredentials(authorizationBC); //具體解析用戶名和密碼的地方
       String username = credentials.getUsername();
       String password = credentials.getPassword();

       //根據(jù)獲得的數(shù)據(jù)進(jìn)Realm認(rèn)證
       principal = context.getRealm().authenticate(username, password);
       if (principal != null) {
           register(request, response, principal,
               HttpServletRequest.BASIC_AUTH, username, password);
           return (true);
       }
   }
   catch (IllegalArgumentException iae) {
       if (log.isDebugEnabled()) {
           log.debug("Invalid Authorization" + iae.getMessage());
       }
   }
}

BasicCredentials構(gòu)造函數(shù)：

/**
* Parse the HTTP Authorization header for BASIC authentication
* as per RFC 2617 section 2, and the Base64 encoded credentials
* as per RFC 2045 section 6.8.
*
* @param input The header value to parse in-place
*
* @throws IllegalArgumentException If the header does not conform
*                                  to RFC 2617
*/
public BasicCredentials(ByteChunk input)
       throws IllegalArgumentException {
   authorization = input;
   initialOffset = input.getOffset();
   parseMethod();
   byte[] decoded = parseBase64();
   parseCredentials(decoded);//這里提取

}

這就是Basic的Authorization請(qǐng)求頭提取過(guò)程。PostMan做的就是在請(qǐng)求前先把用戶名和密碼的信息添加到請(qǐng)求頭中。


如果你看完本文會(huì)打開(kāi)代碼嘗試一下的話，Tomcat的Manager應(yīng)用就是個(gè)樣例。其也是通過(guò)BASIC完成認(rèn)證的。


3. 應(yīng)用

我們一般的應(yīng)用如何配置還使用BASIC認(rèn)證呢？

需要做的就是在web.xml中聲明如下片段

BASIC
   Tomcat Manager Application
 

此時(shí)即為應(yīng)用使用BASIC認(rèn)證了。但如果這個(gè)時(shí)候你急忙去試的話，一定是不起作用的。因?yàn)槟銢](méi)說(shuō)明哪些資源要保護(hù)??！

還需要單獨(dú)聲明哪些資源保護(hù)，例如下面的配置片段
 

HTML Manager

/html/*

manager-gui

上面聲明具體的受保護(hù)的請(qǐng)求路徑，對(duì)應(yīng)使用的角色等。配置的更多內(nèi)容可以參考Manager應(yīng)用，我們不再多談。

4. 為什么

我們上面提到HTTP的認(rèn)證方式有許多種，Tomcat也都有對(duì)應(yīng)的實(shí)現(xiàn)。

那在web.xml中配置了BASIC之后，是怎么和具體BASIC認(rèn)證的代碼對(duì)應(yīng)起來(lái)的呢？

實(shí)際上實(shí)現(xiàn)原理是這個(gè)樣子的：

上面列表中所示的這些認(rèn)證方式，對(duì)應(yīng)到Tomcat中，是以一個(gè)Valve的形式實(shí)現(xiàn)。這個(gè)具體每個(gè)應(yīng)用添加哪個(gè)對(duì)應(yīng)認(rèn)證方式的Valve，就是通過(guò)解析web.xml中配置的auth-method，判斷具體方式來(lái)實(shí)現(xiàn)的。

以上就是“Tomcat內(nèi)部是如何處理來(lái)完成BASIC應(yīng)用認(rèn)證的”這篇文章的所有內(nèi)容，感謝各位的閱讀！相信大家閱讀完這篇文章都有很大的收獲，小編每天都會(huì)為大家更新不同的知識(shí)，如果還想學(xué)習(xí)更多的知識(shí)，請(qǐng)關(guān)注創(chuàng)新互聯(lián)行業(yè)資訊頻道。