java - Restricción de seguridad de la lista blanca en web.xml

tomcat struts2

Question

Estoy usando Tomcat para mi aplicación Struts2. El web.xml tiene ciertas entradas como se muestra a continuación:

<security-constraint>
<web-resource-collection>
<web-resource-name>restricted methods</web-resource-name>
<url-pattern>/*</url-pattern>
<http-method>PUT</http-method>
<http-method>DELETE</http-method>
<http-method>TRACE</http-method>
</web-resource-collection>
<auth-constraint />
</security-constraint>
<security-constraint>
<web-resource-collection>
<web-resource-name>no_access</web-resource-name>
<url-pattern>/jsp/*</url-pattern>
</web-resource-collection>
<auth-constraint/>
</security-constraint>
<security-constraint>
<web-resource-collection>
<web-resource-name>no_access</web-resource-name>
<url-pattern>/myrrunner/*</url-pattern>
</web-resource-collection>
<auth-constraint/>
</security-constraint>

¿Cómo puedo cambiar las partes anteriores de la lista negra para usar solo las partes de la lista blanca? Por ejemplo, en lugar de DELTE lista negra los métodos PUT , DELTE http, necesito la lista blanca de otros métodos, pero no estoy seguro de la sintaxis de la lista blanca y de qué métodos se incluyen en la lista blanca. .

Para mi fragmento de web.xml anterior, apreciaré si alguien me puede proporcionar una parte del contador de whitelisitng para el xml anterior.

EDITAR: También, ¿cómo realmente verificaría si la solución funciona o no?

Gracias

Answer 1

Intentaría lo siguiente:

<security-constraint>
<web-resource-collection>
<url-pattern>/*</url-pattern>
<http-method>GET</http-method>
<http-method>POST</http-method>
</web-resource-collection>
<!-- no auth-constraint tag here -->
</security-constraint>
<security-constraint>
<web-resource-collection>
<web-resource-name>restricted methods</web-resource-name>
<url-pattern>/*</url-pattern>
</web-resource-collection>
<auth-constraint/>
</security-constraint>

La primera security-constraint no tiene ninguna auth-constraint , por lo que los métodos GET y POST están disponibles para cualquier persona sin iniciar sesión. El segundo restringe otros métodos http para todos. (No lo he probado).

Answer 2

Nueva característica de Java EE 6 que simplifica la configuración de seguridad de las aplicaciones. Ahora puede incluir métodos HTTP permitidos en la lista blanca o en la lista negra en su web.xml:

<security-constraint>
<web-resource-collection>
<web-resource-name>Disable unneeded HTTP methods by 403 Forbidden them</web-resource-name>
<url-pattern>*</url-pattern>
<http-method-omission>GET</http-method-omission>
<http-method-omission>HEAD</http-method-omission>
<http-method-omission>POST</http-method-omission>
</web-resource-collection>
<auth-constraint />
</security-constraint>

Referencia: https://blogs.oracle.com/nithya/entry/new_security_features_in_glassfish

Answer 3

Un pequeño ajuste a la respuesta aceptada (establecer el url-pattern en la segunda security-constraint para asignarlo al servlet predeterminado "/" ) funciona para JBoss y Weblogic pero no para Websphere:

<security-constraint>
<web-resource-collection>
<web-resource-name>Allowed methods</web-resource-name>
<url-pattern>/*</url-pattern>
<http-method>GET</http-method>
<http-method>POST</http-method>
</web-resource-collection>
<!-- no auth-constraint tag here -->
</security-constraint>
<security-constraint>
<web-resource-collection>
<web-resource-name>Restricted methods</web-resource-name>
<url-pattern>/</url-pattern>
</web-resource-collection>
<auth-constraint />
</security-constraint>

Con la configuración de restricciones de seguridad anterior, no estoy seguro de por qué Websphere permite todos los métodos HTTP, mientras que JBoss y Weblogic solo permiten GET y POST .