Web.xml Sicherheitsbeschränkung auf context-root gilt nicht

Question

ich einen Java-Webapp, die web.xml seine Sicherheit konfigurieren verwendet:

<security-constraint> 
    <web-resource-collection> 
     <web-resource-name>webPages</web-resource-name> 
     <description>All web resources</description> 
     <url-pattern></url-pattern> 
     <url-pattern>/admin/*</url-pattern> 
     <http-method>POST</http-method> 
     <http-method>GET</http-method> 
    </web-resource-collection> 
    <auth-constraint> 
     <role-name>admins</role-name> 
    </auth-constraint> 
    <user-data-constraint> 
     <description>SSL not required</description> 
     <transport-guarantee>NONE</transport-guarantee> 
    </user-data-constraint> 
</security-constraint> 

Ich möchte alle Seiten unter/admin/* geschützt werden und das funktioniert. Der Benutzer sieht zunächst korrekt einen Login-Bildschirm und wird anschließend auf die ursprünglich angeforderte Seite umgeleitet.

Ich möchte auch meine Kontext root geschützt: http://host:port/context/ Wenn ich jedoch das Muster <url-pattern></url-pattern> konfigurieren und eine Anfrage an den Stamm, mein Java-Controller nur zu arbeiten beginnt und zeigt die Ansicht ohne den Benutzer jemals den Anmeldebildschirm zu sehen. Warum funktioniert dieses Muster für Dinge wie <servlet-mapping> (um die Anfrage dem Feder-Servlet zuzuordnen), aber nicht als Sicherheitsbeschränkung?

Ich habe sowohl in Chrome und Firefox getestet und mehrfach neu gestartet.

Answer 1

Sie könnten versuchen, Whitelist-Ansatz, es bedeutet Zugriff nur für öffentliche Ressource geben.

Here is a better answer mit Beispiel, aber in Ihrem Fall sollte wie folgt sein:

<security-constraint> 
    <web-resource-collection> 
    <web-resource-name>webPages</web-resource-name> 
    <description>All web resources</description> 
    <url-pattern>/</url-pattern> 
    <http-method>POST</http-method> 
    <http-method>GET</http-method> 
    </web-resource-collection> 
    <auth-constraint> 
    <role-name>admins</role-name> 
    </auth-constraint> 
    <user-data-constraint> 
    <description>SSL not required</description> 
    <transport-guarantee>NONE</transport-guarantee> 
    </user-data-constraint> 
</security-constraint> 
<security-constraint> 
    <web-resource-collection> 
    <web-resource-name>Public Resources</web-resource-name> 
    <url-pattern>/public/*</url-pattern> 
    <url-pattern>/alsopublic</url-pattern> 
    <url-pattern>...an so on...</url-pattern> 
    </web-resource-collection> 
    <!-- to given public access don't set auth-constraint--> 
</security-constraint> 

Edit: Ref servlet 3 specification