Tomcat内部是如何处理来完成BASIC应用认证的

今天小编给大家分享一下Tomcat内部是如何处理来完成BASIC应用认证的的相关知识点，内容详细，逻辑清晰，相信大部分人都还太了解这方面的知识，所以分享这篇文章给大家参考一下，希望大家阅读完这篇文章后有所收获，下面我们一起来了解一下吧。

企业建站必须是能够以充分展现企业形象为主要目的，是企业文化与产品对外扩展宣传的重要窗口，一个合格的网站不仅仅能为公司带来巨大的互联网上的收集和信息发布平台，成都创新互联面向各种领域：三轮搅拌车等网站设计、成都全网营销解决方案、网站设计等建站排名服务。

1. Authorization 请求头

在此之前，我们先来了解下请求头中的Authorization的具体作用，以下为RFC2616中对于authorization的定义：

A user agent that wishes to authenticate itself with a server--

usually, but not necessarily, after receiving a 401 response--

does so by including an Authorization request-header field with the

request. T

Authorization = "Authorization" ":" credentials

即在收到服务器返回401信息之后，用于向服务器传递认证的信息。

2. BASIC认证

对于HTTP的安全认证方式，有以下几种实现形式：

• BASIC

• FORM

• DIGEST

• SSL

在输入用户名和密码之后，实际上传到Tomcat的是这样一个内容：


Basic dG9tY2F0OnRvbWNhdA==


这个字符串，空格前是当前认证使用的方式，空格后是用户名和密码的Base64编码，写到这里，大家应该会哦的一声，后台直接不就是Base64解码嘛。你说的对。是这样的


解码的代码如下：位于BasicAuthorization.authenticate()

// Validate any credentials already included with this request
MessageBytes authorization =
   request.getCoyoteRequest().getMimeHeaders()
   .getValue("authorization"); //解析出请求头中的认证值

if (authorization != null) {
   authorization.toBytes();
   ByteChunk authorizationBC = authorization.getByteChunk();
   BasicCredentials credentials = null;
   try {
       credentials = new BasicCredentials(authorizationBC); //具体解析用户名和密码的地方
       String username = credentials.getUsername();
       String password = credentials.getPassword();

       //根据获得的数据进Realm认证
       principal = context.getRealm().authenticate(username, password);
       if (principal != null) {
           register(request, response, principal,
               HttpServletRequest.BASIC_AUTH, username, password);
           return (true);
       }
   }
   catch (IllegalArgumentException iae) {
       if (log.isDebugEnabled()) {
           log.debug("Invalid Authorization" + iae.getMessage());
       }
   }
}

BasicCredentials构造函数：

/**
* Parse the HTTP Authorization header for BASIC authentication
* as per RFC 2617 section 2, and the Base64 encoded credentials
* as per RFC 2045 section 6.8.
*
* @param input The header value to parse in-place
*
* @throws IllegalArgumentException If the header does not conform
*                                  to RFC 2617
*/
public BasicCredentials(ByteChunk input)
       throws IllegalArgumentException {
   authorization = input;
   initialOffset = input.getOffset();
   parseMethod();
   byte[] decoded = parseBase64();
   parseCredentials(decoded);//这里提取

}

这就是Basic的Authorization请求头提取过程。PostMan做的就是在请求前先把用户名和密码的信息添加到请求头中。


如果你看完本文会打开代码尝试一下的话，Tomcat的Manager应用就是个样例。其也是通过BASIC完成认证的。


3. 应用

我们一般的应用如何配置还使用BASIC认证呢？

需要做的就是在web.xml中声明如下片段

BASIC
   Tomcat Manager Application
 

此时即为应用使用BASIC认证了。但如果这个时候你急忙去试的话，一定是不起作用的。因为你没说明哪些资源要保护啊！

还需要单独声明哪些资源保护，例如下面的配置片段
 

HTML Manager

/html/*

manager-gui

上面声明具体的受保护的请求路径，对应使用的角色等。配置的更多内容可以参考Manager应用，我们不再多谈。

4. 为什么

我们上面提到HTTP的认证方式有许多种，Tomcat也都有对应的实现。

那在web.xml中配置了BASIC之后，是怎么和具体BASIC认证的代码对应起来的呢？

实际上实现原理是这个样子的：

上面列表中所示的这些认证方式，对应到Tomcat中，是以一个Valve的形式实现。这个具体每个应用添加哪个对应认证方式的Valve，就是通过解析web.xml中配置的auth-method，判断具体方式来实现的。

以上就是“Tomcat内部是如何处理来完成BASIC应用认证的”这篇文章的所有内容，感谢各位的阅读！相信大家阅读完这篇文章都有很大的收获，小编每天都会为大家更新不同的知识，如果还想学习更多的知识，请关注创新互联行业资讯频道。