Защита URL сервлета без использования имени пользователя аутентификация пароля

Question

У меня есть корпоративное приложение с модулем EJB и модулем веб-приложений (сервлетом). Я обращаюсь к URL сервлета из EJB с помощью URLConnection, но хочу защитить URL с некоторой степенью безопасности. Я не хочу использовать имя пользователя и пароль для аутентификации, потому что я не могу использовать какое-либо решение для входа в систему, поэтому хочу, чтобы можно было ограничить доступ к URL только из его корпоративного приложения. Пожалуйста помоги.

Answer 1

Если они работают на одной машине, обычной практикой является реорганизация бизнес-задания, выполняемого сервлетом в другой класс Java, который затем может быть импортирован/использован как EJB, так и сервлетом.

Answer 2

Вы можете создать учетные данные пользователя на сервере приложений, который используется для развертывания приложения сервлета и защиты приложения с помощью этого пользователя (используя, например, BASIC AUTH):

<security-constraint> 
    <web-resource-collection> 
    <web-resource-name> 
     Entire Application 
    </web-resource-name> 
    <url-pattern>/*</url-pattern> 
    </web-resource-collection> 
    <auth-constraint> 
     <role-name>member</role-name> 
    </auth-constraint> 
</security-constraint> 

Вы можете использовать аутентификацию с вашего EJB ,

Answer 3

Там будет много информации вы оставили из:

• Является ли сервлет использоваться только модулем EJB, или он также используется другими клиентами?
• Являются ли сервлет и модуль EJB работающим в одном контейнере? Такая же физическая машина?
• Какой контейнер веб-сервера/сервлетов/контейнер J2EE вы используете?

Если сервлет используется только модулем EJB, и они оба на той же машине, то вы можете просто настроить веб-контейнер только принимать соединения от localhost и изменить URL ваш модуль EJB использует, чтобы указать на localhost вместо общедоступного имени или IP-адреса.

Если они находятся на разных компьютерах или ваш сервлет используется другими клиентами, вам необходимо каким-то образом аутентифицировать модуль EJB. Вы можете использовать SSL-сертификаты клиентов (см. this question) или настроить свой контейнер сервлета, чтобы разрешать подключения с IP-адреса модуля EJB.

EDIT

Использование сервлетов фильтра для контроля доступа довольно проста. В вашем случае вы хотите проверить, что запрос поступает с localhost. Если нет, отправьте неавторизованное сообщение обратно клиенту.

Вот очень простой doFilter реализации метода, который должен сделать это:

public void doFilter(ServletRequest request, 
        ServletResponse response, 
        FilterChain chain) 
    throws ServletException, IOException 
{ 
    if (!request.getRemoteAddr().equals("127.0.0.1")) { 
     HttpServletResponse rsp = (HttpServletResponse) response; 
     rsp.sendError(HttpServletResponse.SC_FORBIDDEN, "You are not authorized to access this resource."); 
    } 

    chain.doFilter(request, response); 
} 

Добавить фильтр к вашему web.xml с чем-то вроде следующего:

<filter> 
    <filter-name>AuthorizationFilter</filter-name> 
    <filter-class>com.foo.bar.AuthorizationFilter</filter-class> 
</filter> 

<filter-mapping> 
    <filter-name>AuthorizationFilter</filter-name> 
    <servlet-name>RestrictedServlet</servlet-name> 
</filter-mapping> 

Фильтры выполняются в порядке их появляются в web.xml, поэтому убедитесь, что фильтр авторизации является первым.

Сказав все это, я согласен с BalusC здесь. Если это вообще возможно, вам необходимо реорганизовать свой код, чтобы модуль EJB выполнял код напрямую, а не вызывал вызов сервлета.