问题标签 [security-constraint]

我已经阅读了大多数帮助我了解安全约束语法的链接，但不知何故它对我不起作用。

我目前正在开发一个原型项目，该项目具有使用 Apache Wicket 构建的前端并使用 web.xml 文件。由于我们正在进行原型设计，因此我们还没有任何要求或需要实现任何与安全相关的功能。话虽如此，整个项目使用 SonarQube 来执行编码标准，其中之一是我的 web.xml 文件中的“向此描述符添加安全约束元素”。

我想我可以简单地在文件中添加一个空标签，例如<security-constraint></security-constraint>满足声纳规则，但是一个团队成员说我不应该这样做，因为一个空标签与没有标签完全不同，它可以引入一堆可能破坏事物的默认约束。我用谷歌搜索了这个，但我只能找到与 security-constraint ie 等的子标签相关的信息<web-resource-collection>，<auth-constraint>这些信息说如果留空它们可以引入默认值。

我实际上已经在<security-constraint></security-constraint>我的 xml 文件中添加了空来测试这一点，并且没有看到这样做的副作用，但我想知道这是否真的是真的，或者我是否在不知情的情况下引入了一堆默认的安全约束。

我也知道我不应该只是在项目中添加东西来取悦 Sonar，但正如我在下面的评论中提到的那样，实际情况是高层管理人员使用 Sonar 作为查看项目状态的一种方式。如果它失败了，他们并不真正关心为什么，他们只是希望它变成绿色。

我的应用程序在 Websphere 应用程序服务器 9.0.0.9 上运行。我在应用程序的 web.xml 文件中添加了以下安全约束。目的是保护每个请求，无论它是否需要进行身份验证。

接下来在我调用的一个 servlet 过滤器中：

在浏览器中，点击 /home url 后，我总是得到一个 200 OK 响应，响应中设置了上述“auth-msg”标头和一个空白页面。预期的行为是将用户带到登录页面，但这并没有发生。“启用应用程序安全性”也在 WAS 控制台中被选中。这里还缺少什么？这里唯一的解决方法是显式点击 login.jsp 页面。登录页面出现，我可以从那里登录，一切正常。但是自动重定向到登录页面并没有发生。相同的设置在 WAS liberty 中运行良好。

我有以下配置 web.xml

我有我自己的登录 servlet，我已经对用户进行了身份验证并使用它创建了一个会话

但是如何将角色名称“登录访问”添加到会话中？

案例：1 我在基于 servlet 的 web.xml 中使用了以下 .xml 配置

仍然当我尝试对其进行测试时，除了获取和发布之外，还允许。

有人可以建议我更好地使用基于 servlet 的 Web 应用程序。

我只想根据扩展名设置约束。我正在尝试使用以下内容 -

和在属性文件中定义security.user.names.bear。security.user.roles.bear但它没有将有效租户列入白名单。

如何将扩展 URL 模式放入<security-constraint>