Interdire des JSP

Version imprimable

23/10/2008, 14h40
Fench

Interdire des JSP

Bonjour,

J'ai une application avec plusieurs pages JSP mais le pb est que des utilisateurs peuvent saisir une URL de mon arborescence (ex MonApli/Accident) sans passer par ma page d'accueil et d'identification.

Pour sécuriser l'appli, il faudrait que certaines pages ne soient accessibles que si l'utilisateur est identifié.

Merci
23/10/2008, 14h45
fr1man

Tu peux aussi mettre tes jsp dans le répertoire WEB-INF dont l'accès direct, par navigateur, est interdit.
23/10/2008, 16h20
Fench

Oups

Excuses moi en fait je voulais parler des Servlets (les controleurs de l'application) car tous mes JSP sont dans Web-INF

Merci

Dans ce cas là, il faut mettre en place une politique de sécurisation de tes pages à partir de ton web.xml.
Voici un exemple:

Code:

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
 
<security-constraint>
        <web-resource-collection>
            <web-resource-name>Secure Content</web-resource-name>
            <url-pattern>/</url-pattern>
        </web-resource-collection>
        <auth-constraint>
            <role-name>admin</role-name>
        </auth-constraint>
        <user-data-constraint>
            <transport-guarantee>NONE</transport-guarantee>
        </user-data-constraint>
    </security-constraint>
 
    <login-config>
        <auth-method>BASIC</auth-method>
    </login-config>
 
    <security-role>
        <description>The role required to access restricted content </description>
        <role-name>admin</role-name>
    </security-role>

Tu as une partie qui définit la façon de t'authentifier (login-config), une partie qui définit les rôles (security-role) et une partie qui définit les pages que tu veux protéger (security-constraint).

23/10/2008, 17h15
Fench

Oui j'ai étudié le cas du fichier web.xml mais je ne veux pas utiliser les logins de Tomcat, j'effectue un login en identifiant les utilisateurs via LDAP.

Alors je veux bien changer le mode de login "BASIC" en "FORM" mais alors il faudrait protéger les ressources que pour les gens autorisés via LDAP
et j'ai peur que cette partie du fichier web.xml
<auth-constraint>
<role-name>admin</role-name>
<role-name>user</role-name>
</auth-constraint>

ne soit plus bonne !!!!
23/10/2008, 17h21
fr1man

Toutes les rubriques ne sont pas obligatoires dans le web.xml.
Il faut voir si on peut protéger toutes les pages, sans pour autant avoir défini de roles.

Pour ton authentification LDAP, cela ne pose pas de problème, ça se configure dans ton serveur d'application.
24/10/2008, 08h15
Fench

Merci, je vais essayer la modification dans le fichier web.xml aujourd'hui ...
8O