sicherheit jbuilder 2005

[david pocivalnik]

hy @ all!

verwendet jemand jbuilder 2005??? würd gern wissen wie ich meine webapp sicher mach - damit ist folgendes gemeint:

ich hab ne login.jsp - und ne login_error.jsp! formbean for login.jsp - diese validiert - wenn validierung nicht korrekt, also fehler beim login wird zum error gehüpft - hört si super an! doch funkt das net ganz!

jbuilder hat ein eigenes "fenster" in der man die Login configuration festlegen kann (basic - digest - form - client cert) ich wählte form und hab die login.jsp u login_error.jsp angegeben in den feldern - doch wenn ich nun z.B. die action ausgabe.do in die adressleiste eingebe komme ich trotzdem hin!!

weiß wer die lösung oder / und einen anderen vorschlag?
tia
ciao david

[Joerg Loosen]

Hallo David!

Wenn Du die CMS (container managed security) auch für Struts Actions nutzen willst, so solltest Du in den <i>action-mappings</i> das <i>role</i> Attrbut entsprechend setzen.

Das Problem ist nämlich, dass <i>/action.do</i> wie alle <i>*.do</i>-Requests auf ein Servlet (<i>ActionServlet</i>) gemapped wird - und dieses ist in der Standard-Konfiguration nicht durch die CMS geschützt.

Wenn Du weitere Fragen hast, kannst Du gerne mal posten!

Gruß, Jör

[david pocivalnik]

hallo joerg!

danke für die antwort!
hams schon hinbekommen, jedoch auf einen anderen weg! und es ist nicht komplett geschützt! der letzte aufruf wird gezeigt, jedoch ist keine weitere action mehr möglich! automatisch kann nach 5 min nichts mehr gemacht werden!

ad "role" attribut: role z.B. administrator - doch muss ich das festsetzen - REALM DB??

ciao davi

[Joerg Loosen]

Hallo David!

Wenn Du eine Struts Action mit dem <i>role ="admin"</i> schützt, so wird die Action nur ausgeführt, wenn für den Request der Aufruf der Methode <i>request.isCallerInRole("admin")</i> den Wert <i>true</i> zurückliefert.

Es gab kürzlich einen <a href="http://www.entwickler-forum.de/WebX?14@@.4a8726fa">Thread</a>, in dem das näher beleuchtet wurde. Ansonsten habe ich auch in Ausgabe 5.05 des <i>JavaMagazins</i> einen ausführlichen Artikel geschrieben, in dem näher auf diese Problematik eingegangen wird (Du liest doch immer das JavaMagazin, oder ;-) ).

Wenn ich sonst noch helfen kann - einfach posten!

Gruß und schönes Wochenende,

Jör

[david pocivalnik]

hallo jörg!
hatte den artikel erst nach meinem post gelesen! und der thread sollte(hab jrz nur kurz reingschaut) meine frage, wie man diese rollen vergibt auch beantworten! damit wäre dieses problem denke ich gelöst!
danke für die hilfe!
ciao davi