当前位置：文档之家 › J2EE课程设计《技术应用指导》——第12章 Tomcat服务器对安全管理技术支持(第1部分)

J2EE课程设计《技术应用指导》——第12章 Tomcat服务器对安全管理技术支持(第1部分)

  • 格式：pdf
  • 大小：819.76 KB
  • 文档页数：23

杨教授工作室 精心创作的优秀程序员 职业提升必读系列资料

杨教授工作室，版权所有，盗版必究， 1/23页 第12章 Tomcat服务器对安全管理技术支持（第1/3部分） 保证应用系统稳定和安全地运行是企业应用系统开发中的基本技术要求，但应用系统的安全性的保证是一个系统性的工程实现——涉及多个不同的层次和不同角度的技术实现方法，作者在本章中主要为读者介绍在应用服务器——比如Tomcat服务器系统程序这个层次中如何为Web应用系统提供更好的安全管理的技术实现。 J2EE技术规范为应用系统程序的开发者提供了两种形式的基于容器的安全性技术规范标准——说明性的安全性和可编程的安全性，其中的说明性的安全性也就是在应用服务器的部署描述文件中定义系统中的各种安全策略和要求——由于不需要开发者编码实现，因此能够减轻开发者的编码工作量、而且更改安全管理的策略也比较方便。 但基于服务器的可编程安全性在具体实现时是与具体的应用服务器系统程序紧密相关——不同的J2EE应用服务器系统程序的操作配置的方法和过程是不同的，而且配置文件中的数据及定义也是不同的。由于Tomcat服务器是目前应用比较广泛的开源J2EE Servlet容器，读者在课程设计的项目开发中也基本上都是采用它作为本项目的应用服务器。作者在本章中通过银行账户信息管理系统的安全性具体实现的示例为读者详细地介绍Tomcat服务器对安全管理技术的支持。 1.1 Tomcat服务器中的用户管理技术 Tomcat服务器作为一个严格遵守J2EE Servlet技术规范的具体实现程序，在其中也提供有J2EE安全规范的具体实现技术的支持。而且还提供有图形用户界面的系统管理和应用管理的管理程序，方便操作者的配置和维护修改。 为了降低应用系统中的权限管理实现的复杂性，一般都引入某种“角色”的定义，从而使得“用户”和“权限”相互分离：一个用户可以拥有多个不同的角色、一个角色也可以拥有多个不同的权限，这样就能够更灵活地支持安全策略。 1.1.1 Tomcat服务器中的系统管理和应用管理程序 1、Apache Tomcat Web容器 Tomcat程序在严格意义上并不是一个真正的J2EE 应用服务器，它只是一个可以支持运行J2EE Serlvet/JSP组件的Web容器，同时它也提供Web服务器的功能。另外Tomcat杨教授工作室 精心创作的优秀程序员 职业提升必读系列资料

杨教授工作室，版权所有，盗版必究， 2/23页 也具有J2EE 应用服务器的一些基本功能——如提供有对JNDI、数据库连接池、用户事务处理和安全认证等方面的技术支持。 Tomcat程序是Apache开源社区中的Jakarta项目内的一个子项目，可以在Apache的官方网站下载Tomcat的系统程序（包括源代码）如图12.1所示。目前Tomcat广泛地应用在中小规模的Java Web应用系统开发及实际应用中。 Tomcat系统程序是一种具有JSP环境的Servlet容器，但不同版本的Tomcat系统程序对JSP和Servlet等J2EE的技术规范标准采取了不同的实现形式，下图12.1所示的网站页面内容说明了不同版本的Tomcat系统程序所实现的不同版本的J2EE技术规范标准。 图12.1 Apache的官方网站下载Tomcat的系统程序页面截图 2、Tomcat中提供有系统管理和应用管理两种管理工具 （1）Tomcat系统程序中的系统管理工具 大多数商业化的J2EE应用服务器都提供有功能强大的GUI形式的系统管理程序（如Weblogic的管理控制台），且大都采用易于操作的Web应用界面。Tomcat同样也提供有一个成熟的系统管理工具——Admin Web Application程序。 Tomcat中的系统管理工具的主要管理功能包括Context、环境变量、DataSource、User和Group等方面。管理人员要想登陆Admin Web Application程序，必须要具有admin类型的角色的账号。 （2）Tomcat系统程序中的应用管理工具 Tomcat中所提供的应用管理工具——Manager Web Application能够让Web应用系统的技术支持人员通过一个比Admin Web Application更为简单的用户操作界面，完成一些与Web应用系统程序紧密相关的管理和配置功能。管理人员要想登陆Manager Web Application程序，必须要具有manager类型的角色的账号。 3、应用Tomcat中的系统管理工具 （1）Tomcat5.0及以前版的系统中直接内带有Admin Web Application程序 在Tomcat5.0及以前版的系统程序中的./server/webapps目录中内带有Admin Web Application程序如图12.2所示。其中admin目录中的各个程序和页面为Admin Web 杨教授工作室 精心创作的优秀程序员 职业提升必读系列资料

杨教授工作室，版权所有，盗版必究， 3/23页 Application程序，manager目录中的各个程序和页面为Manager Web Application程序。 在启动Tomcat服务器程序后，读者直接在浏览器中输入http://localhost:8080/admin/就可以启动Admin Web Application程序，不需要进行程序的附加下载和配置定义。 图12.2 Tomcat5.0以前版的系统中直接内带有系统管理工具程序 （2）Tomcat 5.5以上版（也包括Tomcat 6.X中）中不再集成系统管理工具 读者在启动Tomcat 5.5以上版的系统程序后，如果在浏览器中再输入http://localhost:8080/admin/后，将出现右图12.3所示的警告提示信息。 作者通过查询Apache官方网站中有关对Tomcat6系统程序介绍的文档了解到——“Tomcat 5.5 以后的binary 核心安装版不再集成Tomcat Administration Web Application Tool，读者需要独立下载和安装。而Tomcat 6.0版以后的Administration Web Application程序仅包含在源码包中，没有提供独立下载的可执行的安装包”。读者从下图12.4所示的Apache官方网站中提供对Tomcat 6.X系统包的各个下载链接也能够了解到这个情况——不再直接内带有系统管理工具程序。 杨教授工作室 精心创作的优秀程序员 职业提升必读系列资料

杨教授工作室，版权所有，盗版必究， 4/23页

图12.4 Apache网站中提供对Tomcat 6.X系统包的各个下载链接 （3）下载Tomcat 5.5的Admin Web Application程序 读者可以在http://apache.mirror.phpchina.com/tomcat/tomcat-5/v5.5.27/bin/网站或者在http://tomcat.apache.org/download-55.cgi/网站中下载Tomcat 5.5的系统管理工具程序——请见下图12.5所示的下载页面的截图。 图12.5下载Tomcat 5.5的系统管理工具程序的页面截图 （4）解压并安装所下载的Tomcat 5.5的系统管理工具程序 读者按照上图12.5所示的网址下载、并解压apache-tomcat-5.5.27-admin.zip文件，将其中的conf和server两个文件夹分别拷贝到Tomcat5.5以上版的系统根目录中，这样也就完成了系统管理工具程序的附加配置——最后的操作结果请见下图12.6所示的截图。 图12.6 完成对系统管理工具程序的附加配置操作的结果 杨教授工作室 精心创作的优秀程序员 职业提升必读系列资料

杨教授工作室，版权所有，盗版必究， 5/23页 4、建立系统管理员及应用管理员的账号和初始的密码 （1）Tomcat中的用户账号信息默认是放在tomcat-users.xml文件中 假设读者机器中的Tomcat服务器系统程序安装在C：\根目录中，则在下面的目录C:\jakarta-tomcat-5.5.9\conf中，读者将能够看到一个文件名称为tomcat-users.xml的配置文件——Tomcat中的各个系统用户账号的信息在默认情况下也就是放在该文件中。 读者首先在该文件中增加一个名称为admin的角色定义：和一个名称为admin、密码为12345678的admin角色的用户定义：。最后的操作结果请见下图12.7中的示例文件内容。 图12.7 在Tomcat系统中添加角色和用户定义 （2）启动Admin Web Application程序的登录界面 读者启动了Tomcat服务器的系统程序后，然后在浏览器中直接输入下面的http://localhost:8080/admin/的请求地址，将能够看到右图12.8中所示的Admin Web Application程序的登陆界面。 在该页面的登陆表单中输入用户名称为admin和密码为12345678后（它们是在图12.7的示例文件中定义的账号信息），再点击登陆表单中的【Login】按钮提交登陆请求，将能够看到下图12.9所示的Admin Web Application程序的系统配置的主界面。 杨教授工作室 精心创作的优秀程序员 职业提升必读系列资料

杨教授工作室，版权所有，盗版必究， 6/23页

图12.9 Admin Web Application程序的主界面 5、应用Tomcat服务器系统中内带的应用管理工具 （1）登陆Tomcat服务器中的应用管理工具程序 读者在浏览器中直接输入http://localhost:8080/manager/html/list后将出现下图12.10所示的要求输入用户名和密码的对话框类型的身份验证的登陆页面，然后输入用户名称为manager，密码为12345678——它们已经在图12.7所示的tomcat-users.xml文件中定义出。 图12.10登陆Tomcat中的应用管理工具程序 （2）利用Tomcat服务器中的应用管理工具监控和管理各个Web应用程序 读者在图12.10所示的页面中输入有效的身份信息后，如果身份验证通过则顺利地进入到Tomcat Web Application Manager程序的主界面——请见下图12.11所示的程序界面。 Tomcat服务器中的应用管理工具（Manager Web Application）可以让管理人员在没有系统管理特权的基础上，部署安装新的Web应用程序以用于测试。同时也可以对所部署的Web应用程序的工作状态进行控制（Start 或者 Stop等操作），以免重新启动Tomcat服务器——这在对应用系统中的web.xml等配置的内容发生改变时，特别有效。 杨教授工作室 精心创作的优秀程序员 职业提升必读系列资料

杨教授工作室，版权所有，盗版必究， 7/23页

图12.11 利用Tomcat应用管理工具监控和管理各个Web应用程序 1.1.2 利用Tomcat服务器系统管理工具进行用户管理 1、添加在Tomcat服务器系统中所需要的各种用户角色 （1）名称为admin和manager角色为Tomcat服务器中的两种默认用户角色 角色名为admin的用户账号能够完成Tomcat的系统管理和配置，而角色名为manager的用户账号能够完成对部署在Tomcat服务器中的各种应用系统程序的管理和配置——读者可以根据在开发中的具体需要，合理地创建出这两种角色的账号信息。 （2）利用Tomcat系统管理工具添加新的角色名 读者在下图12.12所示的系统管理工具的主界面中点击左面的【Roles】树形节点，然后在右面的下拉列表框中选择【Create New Role】项目——请见下图12.12所示。 图12.12 在右面的下拉列表框中选择Create New Role项目 （3）输入新角色的名称和有关的描述文字 读者可以在弹出的页面中，输入新的角色的名称（比如：teacher）和对该角色的描述文字（比如：这是杨少波老师的角色名）——最后的操作结果请见下图12.13所示。

合集下载

J2EE课程设计及项目实训教学——在Tomcat中实现SSL的配置定义

J2EE课程设计及项目实训教学——在Tomcat中实现SSL的配置定义

杨教授大学堂 精心创作的优秀程序员 职业提升必读系列资料

杨教授大学堂，版权所有，盗版必究。 1/17页 J2EE课程设计及项目实训教学——在Tomcat中实现SSL的配置定义 1.1.1 在Tomcat中实现SSL的配置定义 1、Web系统信息安全问题的背景 （1）TCP/IP协议的广泛应用 TCP/IP 网络的应用，使得全球互相连接的主机和网络形成了一个全局性的计算机系统——互联网。Web 一直是互联网的最主要和最广泛的应用，越来越多的公司、政府部门和许多个人都拥有Web 站点，作为信息发布和资源共享的平台。特别是近几年来，随着互联网的迅速普及和相关技术的不断发展，基于Web 方式在Internet 上实现各种网上作业，如电子商务、电子政务等等，成为时代的潮流，体现了互联网未来发展的方向和动力。 （2）TCP/IP 协议本身没有考虑安全问题的解决 但是，由于网络互连协议一般采用TCP/IP 协议，而TCP/IP 协议在制订之初，没有把安全考虑在内，协议中存在很多的安全问题，如数据流采用明文传输等等。因此，单纯的Web技术本身并不保证信息的安全，它使得信息可能被非授权的用户访问、阅读和修改，因此诸如电子商务、电子政务等基于Web 的网上作业系统的真正实现，其首要考虑的问题在于如何确保系统的安全性，而其中的信息传输安全更是关键所在，这也是网络技术发展中的焦点问题之一。 （3）网络应用系统的所面临的安全问题 以电子商务为例，利用Internet 从事商务活动，意味着在拥有廉价、便利、迅速和庞大客户群等众多优点的同时，也承担了敏感信息（合同﹑金融账号、账号密码和支付信息等）遭受攻击的风险。 事实上，能否保证信息安全、可靠的传输，为用户提供信心保证，成为决定电子商务成败的关键。 因此，解决Web 应用中的信息传输的安全问题，意义重大。 （4）Web 应用的典型系统结构图如下所示 杨教授大学堂 精心创作的优秀程序员 职业提升必读系列资料

JSP应用与开发技术第12、13、14章 课后习题答案

JSP应用与开发技术第12、13、14章 课后习题答案

第12章 Servlet基础

1.简述Servlet和JSP的关系。

答：

Servlet是服务器端运行的一种Java应用程序。当浏览器端有请求则将其结果传递给浏览器。在JSP中使用到的所有对象都将被转换为Servlet或者非Servlet的Java对象，然后被执行，所以执行JSP实际上与执行Servlet是一样的。

2.简述Servlet的生命周期。

答：

Servlet的生命周期可分为下面几个阶段：

（1）装载Servlet。

（2）实例化一个Servlet实例对象。

（3）调用Servlet的init( )方法进行初始化。

（4）服务。

（5）卸载。

3.简述HttpSession接口的功能和使用方法。

答:

.HttpSession接口是Servlet提供会话追踪解决方案。 HttpSession对象存放在服务器端，只是对cookie和url重写技术的封装应用。

使用HttpSession进行会话控制的过程：

（1）获得一个HttpSession实例对象；

（2）访问和设置与会话相关联信息，维护会话的状态；

（3）废弃会话数据。

4.简述开发一个Servlet所需要的步骤。

答：

第一步：编写Servlet实例

第二步：在web.xml文件中配置该Servlet

第三步：编写其它文件

5.编写一个html页面和一个Servelt，实现利用Servelt的doPost方法读取html文件中Form表单内容。

答：

参考12.6.2

6.写一个利用HttpSession接口的用户登录的Servlet，当用户已经登录时，返回欢迎信息；否则转向登录页面。

答：

第一步：编写Servlet实例SessionServlet.java所示。

package com;

import java.io.*;

import java.util.*;

import javax.servlet.*;

import javax.servlet.http.*;

J2EE课程设计《技术应用指导》——第11章 Java集合和泛型技术及应用(第3部分)

J2EE课程设计《技术应用指导》——第11章 Java集合和泛型技术及应用(第3部分)

杨教授工作室 精心创作的优秀程序员 职业提升必读系列资料

杨教授工作室，版权所有，盗版必究， 1/11页 第11章 JasperReports和iReport报表工具（第3/3部分） 1.1 利用iReport工具创建报表 iReport报表可视化设计器工具软件是与JasperReport 报表引擎相配合使用的一个工具软件，因为JasperReport报表引擎本身只提供有丰富的系统类库、但并未提供有操作简洁方便的可视化报表设计工具，而iReport软件则能够弥补它的不足。在报表设计和开发实现中，将它们相互配合使用将会进一步提高开发的效率。 1.1.1 使用iReport工具中的Report Wizard向导创建报表 1. 创建SQL查询语句以获得数据库表结构信息 读者可以选中iReport工具中的【档案】菜单中的【报表精灵】子菜单，将弹出下图11.30所示的对话框。在该对话框中的【SQL query】输入框中输入查询功能的SQL语句：本示例为select * from bbs，请见下图11.30中的示例操作结果的截图。 图11.30 创建SQL查询语句以获得数据库表结构信息 2、选择在报表模板中所需要的目标字段 读者在上图11.30所示的对话框中点击其中的【Next】下一步按钮后，将出现下图11.31所示的对话框。读者可以根据在报表中所需要显示的数据要求，选择在报表模板文件中所需要的各个目标字段——请见下图11.31所示的对话框中的各个字段，将左边框中的各个字段名添加到右边框中。 杨教授工作室 精心创作的优秀程序员 职业提升必读系列资料

杨教授工作室，版权所有，盗版必究， 2/11页 图11.31选择在报表模板中所需要的目标字段 3、选择报表的布局模板和显示风格 读者在上图11.31所示的对话框中点击【Next】下一步按钮后，将出现下图11.32所示的对话框。在该对话框中根据报表模板的风格要求选择iReport工具中所提供的报表布局模板——本示例选择classicC.xml类型的报表模板，请见下图11.32所示的最终选择的结果截图。 图11.32 选择报表的布局模板 读者在上图11.32所示的对话框中点击【Next】下一步按钮后，将出现下图11.33所示的配置成功的对话框。读者点击其中的【结束】按钮，完成本示例的配置过程。 杨教授工作室 精心创作的优秀程序员 职业提升必读系列资料

J2EE课程设计《技术应用指导》——第3章JDBC和数据库连接池技术及应用(第1部分)

J2EE课程设计《技术应用指导》——第3章JDBC和数据库连接池技术及应用(第1部分)

杨教授工作室 精心创作的优秀程序员 职业提升必读系列资料

杨教授工作室，版权所有，盗版必究， 1/8页 第3章JDBC和数据库连接池技术及应用（第1/3部分） Java对象的生命周期主要包括对象的创建、对象的使用和对象的销毁三个阶段，其中的创建和销毁所耗费的时间都属于对象在使用时的附加开销，在应用系统开发实现中应该尽可能地减少在这些方面的系统开销；另一方面，在创建数据库连接对象时由于要涉及与数据库服务器程序之间的TCP/IP的远程连接。频繁地创建和关闭数据库连接也将会增大系统的系统开销——而JDBC API中所提供的直接连接方式是物理上的连接和关闭。 因此，如果要改善应用系统的性能、并提高系统中的数据访问的效率，不仅要减少创建重量级资源对象（创建的时候需要耗费大量操作或是系统资源和耗费长时间的对象）的次数，也还应当要尽可能减少对象在使用时的附加开销。如何满足这些要求？当然，对象池（Pool）技术是首选的应用技术——以牺牲少量的系统内存空间换起比较高的系统性能。 读者在项目开发中，不仅要提高项目中的程序代码的灵活性和功能实现的可扩展性，也还应该要考虑如何提高项目中的数据访问的性能——采用什么形式的数据库连接、如何减少与数据库服务器之间的连接次数、如何避免数据访问程序所可能造成的内存泄漏？作者希望能够与读者共同探讨对这些技术问题的解决方法、交流经验和共同学习有关的知识。 1.1 Java数据库访问接口JDBC技术 目前的企业级应用系统的开发基本上都离不开对数据库中的数据访问功能实现要求，在Java技术平台中是通过JDBC API的编程接口实现对数据库的访问编程——JDBC的设计是基于X/Open SQL调用级接口（CLI，Call Level Interface）这一编程模型。它通过定义出一组 API对象和方法以用于同物理数据库系统之间的交互——JDBC API主要包含两部分和面向两种完全不同的用户群：面向Java程序员的JDBC API及面向数据库厂商的JDBC Drive API。 1.1.1 JDBC技术及在应用中主要存在的问题 1、Java数据库访问接口JDBC技术 （1）Java DataBase Connectivity（Java 数据库连接技术） JDBC其实是将Java语言的语句与标准的SQL语句两者相互结合且独立于特定的数据库系统的应用程序编程接口（API）。它为Java应用系统的开发人员、数据库前台操作工杨教授工作室 精心创作的优秀程序员 职业提升必读系列资料