用web_XML控制Web應用的行為
下面給出其它部分：
9.2 限制對Web資源的訪問
現在，可以指示服務器使用何種驗證方法了。"了不起，"你說道，"除非我能指定一個來收到保護的URL，否則沒有多大用處。"沒錯。指出這些URL並說明他們應該得到何種保護正是security-constriaint元素的用途。此元素在web.XML中應該出現在login-config的緊前面。它包含是個可能的子元素，分別是：web-resource-collection、auth-constraint、user-data-constraint和display-name。下面各小節對它們進行介紹。
l web-resource-collection
此元素確定應該保護的資源。所有security-constraint元素都必須包含至少一個web-resource-collection項。此元素由一個給出任意標識名稱的web-resource-name元素、一個確定應該保護的URL的url-pattern元素、一個指出此保護所適用的HTTP命令（GET、POST等，缺省為所有方法）的http-method元素和一個提供資料的可選description元素組成。例如，下面的Web-resource-collection項（在security-constratint元素內）指出Web應用的proprIEtary目錄中所有文檔應該受到保護。
<security-constraint>
<web-resource-coolection>
<web-resource-name>ProprIEtary</web-resource-name>
<url-pattern>/propritary/*</url-pattern>
</web-resource-coolection>
<!-- ... -->
</security-constraint>
重要的是應該注意到，url-pattern僅適用於直接訪問這些資源的客戶機。特別是，它不適合於通過MVC體系結構利用RequestDispatcher來訪問的頁面，或者不適合於利用類似jsp:forward的手段來訪問的頁面。這種不勻稱如果利用得當的話很有好處。例如，servlet可利用MVC體系結構查找數據，把它放到bean中，發送請求到從bean中提取數據的JSP頁面並顯示它。我們希望保證決不直接訪問受保護的JSP頁面，而只是通過建立該頁面將使用的bean的servlet來訪問它。url-pattern和auth-contraint元素可通過聲明不允許任何用戶直接訪問JSP頁面來提供這種保證。但是，這種不勻稱的行為可能讓開發人員放松警惕，使他們偶然對應受保護的資源提供不受限制的訪問。
l auth-constraint
盡管web-resource-collention元素質出了哪些URL應該受到保護，但是auth-constraint元素卻指出哪些用戶應該具有受保護資源的訪問權。此元素應該包含一個或多個標識具有訪問權限的用戶類別role-name元素，以及包含（可選）一個描述角色的description元素。例如，下面web.XML中的security-constraint元素部門規定只有指定為Administrator或Big Kahuna（或兩者）的用戶具有指定資源的訪問權。
<security-constraint>
<web-resource-coolection> ... </web-resource-coolection>
<auth-constraint>
<role-name>administrator</role-name>
<role-name>kahuna</role-name>
</auth-constraint>
</security-constraint>
重要的是認識到，到此為止，這個過程的可移植部分結束了。服務器怎樣確定哪些用戶處於任何角色以及它怎樣存放用戶的口令，完全有賴於具體的系統。
例如，Tomcat使用install_dir/conf/tomcat-users.XML將用戶名與角色名和口令相關聯，正如下面例子中所示，它指出用戶joe（口令bigshot）和jane（口令enaj）屬於administrator和kahuna角色。
<tomcat-users>
<user name="joe" passWord="bigshot" roles="administrator,kahuna" />
<user name="jane" passWord="enaj" roles="kahuna" />
</tomcat-users>
l user-data-constraint
這個可選的元素指出在訪問相關資源時使用任何傳輸層保護。它必須包含一個transport-guarantee子元素（合法值為NONE、INTEGRAL或CONFIDENTIAL），並且可選地包含一個description元素。transport-guarantee為NONE值將對所用的通訊協議不加限制。INTEGRAL值表示數據必須以一種防止截取它的人閱讀它的方式傳送。雖然原理上（並且在未來的HTTP版本中），在INTEGRAL和CONFIDENTIAL之間可能會有差別，但在當前實踐中，他們都只是簡單地要求用SSL。例如，下面指示服務器只允許對相關資源做HTTPS連接：
<security-constraint>
<!-- ... -->
<user-data-constraint>
<transport-guarantee>CONFIDENTIAL</transport-guarantee>
</user-data-constraint>
</security-constraint>
l display-name
security-constraint的這個很少使用的子元素給予可能由GUI工具使用的安全約束項一個名稱。
9.3 分配角色名
迄今為止，討論已經集中到完全由容器（服務器）處理的安全問題之上了。但servlet以及JSP頁面也能夠處理它們自己的安全問題。
例如，容器可能允許用戶從bigwig或bigcheese角色訪問一個顯示主管人員額外緊貼的頁面，但只允許bigwig用戶修改此頁面的參數。完成這種更細致的控制的一種常見方法是調用HttpServletRequset的isUserInRole方法，並據此修改訪問。
Servlet的security-role-ref子元素提供出現在服務器專用口令文件中的安全角色名的一個別名。例如，假如編寫了一個調用request.isUserInRole（"boss"）的servlet，但後來該servlet被用在了一個其口令文件調用角色manager而不是boss的服務器中。下面的程序段使該servlet能夠使用這兩個名稱中的任何一個。
<servlet>
<!-- ... -->
<security-role-ref>
<role-name>boss</role-name> <!-- New alias -->
<role-link>manager</role-link> <!-- Real name -->
</security-role-ref>
</servlet>
也可以在web-app內利用security-role元素提供將出現在role-name元素中的所有安全角色的一個全局列表。分別地生命角色使高級IDE容易處理安全信息。
10 控制會話超時
如果某個會話在一定的時間內未被訪問，服務器可把它扔掉以節約內存。可利用HttpSession的setMaxInactiveInterval方法直接設置個別會話對象的超時值。如果不采用這種方法，則缺省的超時值由具體的服務器決定。但可利用session-config和session-timeout元素來給出一個適用於所有服務器的明確的超時值。超時值的單位為分鐘，因此，下面的例子設置缺省會話超時值為三個小時（180分鐘）。
<session-config>
<session-timeout>180</session-timeout>
</session-config>
11 Web應用的文檔化
越來越多的開發環境開始提供servlet和JSP的直接支持。例子有Borland Jbuilder Enterprise Edition、Macromedia UltraDev、Allaire JRun Studio（寫此文時，已被Macromedia收購）以及IBM VisuaAge for Java等。
大量的web.XML元素不僅是為服務器設計的，而且還是為可視開發環境設計的。它們包括icon、display-name和discription等。
可回憶一下，在web.xml內以適當地次序聲明web-app子元素很重要。不過，這裡只要記住icon、display-name和description是web.XML的web-app元素內的前三個合法元素即可。
l icon
icon元素指出GUI工具可用來代表Web應用的一個和兩個圖像文件。可利用small-icon元素指定一幅16 x 16的GIF或JPEG圖像，用large-icon元素指定一幅32 x 32的圖像。下面舉一個例子：
<icon>
<small-icon>/images/small-book.gif</small-icon>
<large-icon>/images/tome.jpg</large-icon>
</icon>
l display-name
display-name元素提供GUI工具可能會用來標記此Web應用的一個名稱。下面是個例子。
<display-name>Rare Books</display-name>
l description
description元素提供解釋性文本，如下所示：
<description>
This Web application represents the store developed for
rare-books.com, an online bookstore specializing in rare
and limited-edition books.
</description>
12 關聯文件與MIME類型
服務器一般都具有一種讓Web站點管理員將文件擴展名與媒體相關聯的方法。例如，將會自動給予名為mom.jpg的文件一個image/jpeg的MIME類型。但是，假如你的Web應用具有幾個不尋常的文件，你希望保證它們在發送到客戶機時分配為某種MIME類型。mime-mapping元素（具有extension和mime-type子元素）可提供這種保證。例如，下面的代碼指示服務器將application/x-fubar的MIME類型分配給所有以.foo結尾的文件。
<mime-mapping>
<extension>foo</extension>
<mime-type>application/x-fubar</mime-type>
</mime-mapping>
或許，你的Web應用希望重載（override）標准的映射。例如，下面的代碼將告訴服務器在發送到客戶機時指定.ps文件作為純文本（text/plain）而不是作為PostScript（application/postscript）。
<mime-mapping>
<extension>ps</extension>
<mime-type>application/postscript</mime-type>
</mime-mapping>
13 定位TLD
JSP taglib元素具有一個必要的uri屬性，它給出一個TLD（Tag Library Descriptor）文件相對於Web應用的根的位置。TLD文件的實際名稱在發布新的標簽庫版本時可能會改變，但我們希望避免更改所有現有JSP頁面。此外，可能還希望使用保持taglib元素的簡練性的一個簡短的uri。這就是部署描述符文件的taglib元素派用場的所在了。Taglib包含兩個子元素：taglib-uri和taglib-location。taglib-uri元素應該與用於JSP taglib元素的uri屬性的東西相匹配。Taglib-location元素給出TLD文件的實際位置。例如，假如你將文件chart-tags-1.3beta.tld放在WebApp/WEB-INF/tlds中。現在，假如web.XML在web-app元素內包含下列內容。
<taglib>
<taglib-uri>/charts.tld</taglib-uri>
<taglib-location>
/WEB-INF/tlds/chart-tags-1.3beta.tld
</taglib-location>
</taglib>
給出這個說明後，JSP頁面可通過下面的簡化形式使用標簽庫。
<%@ taglib uri="/charts.tld" prefix="somePrefix" %>
14 指定應用事件監聽程序
應用事件監聽器程序是建立或修改servlet環境或會話對象時通知的類。它們是servlet規范的版本2.3中的新內容。這裡只簡單地說明用來向Web應用注冊一個監聽程序的web.XML的用法。
注冊一個監聽程序涉及在web.XML的web-app元素內放置一個listener元素。在listener元素內，listener-class元素列出監聽程序的完整的限定類名，如下所示：
<listener>
<listener-class>package.ListenerClass</listener-class>
</listener>
雖然listener元素的結構很簡單，但請不要忘記，必須正確地給出web-app元素內的子元素的次序。listener元素位於所有的servlet元素之前以及所有filter-mapping元素之後。此外，因為應用生存期監聽程序是serlvet規范的2.3版本中的新內容，所以必須使用web.XML DTD的2.3版本，而不是2.2版本。
例如，程序清單5-20給出一個名為ContextReporter的簡單的監聽程序，只要Web應用的Servlet-Context建立（如裝載Web應用）或消除（如服務器關閉）時，它就在標准輸出上顯示一條消息。程序清單5-21給出此監聽程序注冊所需要的web.XML文件的一部分。
程序清單5-20 ContextReporterJava
package moreservlets;
import Javax.servlet.*;
import Java.util.*;
/** Simple listener that prints a report on the standard output
* when the ServletContext is created or destroyed.
* <P>
* Taken from More Servlets and JavaServer Pages
* from Prentice Hall and Sun Microsystems Press,
* http://www.moreservlets.com/.
* ? 2002 Marty Hall; may be freely used or adapted.
*/
public class ContextReporter implements ServletContextListener {
public void contextInitialized(ServletContextEvent event) {
System.out.println("Context created on " +
new Date() + ".");
}
public void contextDestroyed(ServletContextEvent event) {
System.out.println("Context destroyed on " +
new Date() + ".");
}
}
程序清單5-21 web.XML（聲明一個監聽程序的摘錄）
<?XML version="1.0" encoding="ISO-8859-1"?>
<!DOCTYPE web-app
PUBLIC "-//Sun Microsystems, Inc.//DTD Web Application 2.3//EN"
"http://Java.sun.com/dtd/web-app_2_3.dtd";;>
<web-app>
<!-- ... -->
<filter-mapping> … </filter-mapping>
<listener>
<listener-class>package.ListenerClass</listener-class>
</listener>
<servlet> ... </servlet>
<!-- ... -->
</web-app>
15 J2EE元素
本節描述用作J2EE環境組成部分的Web應用的web.XML元素。這裡將提供一個簡明的介紹，詳細內容可以參閱http://java.sun.com/j2ee/J2EE-1_3-fr-spec.pdf的Java 2 Plantform Enterprise Edition版本1.3規范的第5章。
l distributable
distributable元素指出，Web應用是以這樣的方式編程的：即，支持集群的服務器可安全地在多個服務器上分布Web應用。例如，一個可分布的應用必須只使用Serializable對象作為其HttpSession對象的屬性，而且必須避免用實例變量（字段）來實現持續性。distributable元素直接出現在discription元素之後，並且不包含子元素或數據，它只是一個如下的標志。
<distributable />
l resource-env-ref
resource-env-ref元素聲明一個與某個資源有關的管理對象。此元素由一個可選的description元素、一個resource-env-ref-name元素（一個相對於Java:comp/env環境的JNDI名）以及一個resource-env-type元素（指定資源類型的完全限定的類），如下所示：
<resource-env-ref>
<resource-env-ref-name>
jms/StockQueue
</resource-env-ref-name>
<resource-env-ref-type>
Javax.jms.Queue
</resource-env-ref-type>
</resource-env-ref>
l env-entry
env-entry元素聲明Web應用的環境項。它由一個可選的description元素、一個env-entry-name元素（一個相對於java:comp/env環境JNDI名）、一個env-entry-value元素（項值）以及一個env-entry-type元素（java.lang程序包中一個類型的完全限定類名，java.lang.Boolean、Java.lang.String等）組成。下面是一個例子：
<env-entry>
<env-entry-name>minAmout</env-entry-name>
<env-entry-value>100.00</env-entry-value>
<env-entry-type>minAmout</env-entry-type>
</env-entry>
l ejb-ref
ejb-ref元素聲明對一個EJB的主目錄的應用。它由一個可選的description元素、一個ejb-ref-name元素（相對於Java:comp/env的EJB應用）、一個ejb-ref-type元素（bean的類型，Entity或Session）、一個home元素（bean的主目錄接口的完全限定名）、一個remote元素（bean的遠程接口的完全限定名）以及一個可選的ejb-link元素（當前bean鏈接的另一個bean的名稱）組成。
l ejb-local-ref
ejb-local-ref元素聲明一個EJB的本地主目錄的引用。除了用local-home代替home外，此元素具有與ejb-ref元素相同的屬性並以相同的方式使用